ZDI rozobrala reťaz chýb v Oracle PeopleSoft CVE-2026-35273, ktorá vedie k RCE
Technická analýza ZDI opisuje tri chyby, ktoré sú podľa nej súčasťou CVE-2026-35273 v Oracle PeopleSoft. Oracle má opravu od júna, pričom zraniteľnosť už bola aktívne zneužívaná.
PeopleSoft CVE-2026-35273 podľa novej technickej analýzy Zero Day Initiative (ZDI) nezahŕňa jednu izolovanú chybu, ale reťaz troch samostatne nahlásených zraniteľností vo viacerých komponentoch PeopleSoftu. Ich kombinácia môže neautentifikovanému vzdialenému útočníkovi umožniť vykonanie kódu na napadnutom systéme.
Oracle už k chybe vydal opravy a mitigácie 10. júna 2026. Riziko sa týka internetovo dostupných, neopravených nasadení Oracle PeopleSoft Enterprise PeopleTools vo verziách 8.61 a 8.62. Mandiant a Google Threat Intelligence Group (GTIG) predtým zdokumentovali aktívne zneužívanie zraniteľnosti.
Ako funguje PeopleSoft CVE-2026-35273
Reťazec opísaný ZDI začína zraniteľnosťou typu server-side request forgery (SSRF) v komponente Integration Gateway. SSRF umožňuje aplikácii odoslať požiadavku na interný cieľ, ktorý by zvonka za bežných okolností nebol dostupný.
V tomto prípade môže útočník cez loopback adresu osloviť interný komponent PSEMHUB. Na SSRF následne nadväzujú ďalšie chyby, ktoré podľa ZDI vedú až k vzdialenému vykonaniu kódu. Útočník pritom nepotrebuje prihlasovacie údaje.
Oracle vo svojom bezpečnostnom upozornení potvrdil, že CVE-2026-35273 je vzdialene zneužiteľná bez autentifikácie a jej dopadom je RCE. ZDI zároveň uvádza, že Oracle pod jedným identifikátorom CVE opravil tri samostatne nahlásené zraniteľnosti.
Prečo samotné WAF pravidlá nestačili
Mandiant a GTIG pripísali zneužívanie CVE-2026-35273 skupine UNC6240, ktorú označujú aj ako ShinyHunters. V septembri zaznamenali obnovené hromadné útoky proti Oracle PeopleSoft.
Výskumníci upozornili, že útočníci dokázali obchádzať WAF pravidlá založené iba na textovom porovnávaní ciest. Použili pritom percentuálne, respektíve URL-kódované varianty cesty. Technické vysvetlenie ZDI ukazuje aj širší problém perimeterových opatrení: SSRF môže zneužiť dôveru aplikácie k jej vlastnému lokálnemu rozhraniu.
Blokovanie vybraných ciest vo WAF preto Mandiant nepovažuje za náhradu aplikovania opravy od Oracle. Správcovia majú prioritne overiť, či je júnový patch nasadený na všetkých relevantných inštanciách PeopleTools 8.61 a 8.62, najmä ak sú dostupné z internetu.
Čo majú správcovia preveriť
Popri patchovaní odporúčajú dostupné zistenia preveriť prípadné stopy kompromitácie. Medzi relevantné indikátory patria externé POST požiadavky smerujúce na PSEMHUB vrátane jeho percentuálne kódovaných variantov a neznáme súbory JSP v adresári PSEMHUB.war.
- Overiť nasadenie opravy Oracle pre CVE-2026-35273.
- Identifikovať internetovo dostupné systémy PeopleSoft PeopleTools 8.61 a 8.62.
- Skontrolovať logy na POST požiadavky na PSEMHUB a URL-kódované podoby príslušnej cesty.
- Preveriť obsah adresára PSEMHUB.war na neznáme JSP súbory.
Oracle zatiaľ verejne nezverejnil samostatné CVE identifikátory pre každú z troch chýb opísaných ZDI. ZDI uvádza, že pridelenie samostatných identifikátorov s výrobcom koordinuje. Zároveň nie je nezávisle potvrdené, že každé historicky pripísané napadnutie skupinou ShinyHunters využilo presne všetky tri chyby v rovnakom reťazci.
Zdroje
- Zero Day Initiative – ZDI ako oznamovateľ chyby opisuje tri nahlásené zraniteľnosti, SSRF a cesty k RCE; uvádza aj koordináciu samostatných CVE s Oracle.
- Oracle Security Alert Advisory – Oracle potvrdzuje postihnuté verzie, neautentifikované vzdialené zneužitie, dopad RCE, závažnosť 9,8 a dostupnosť opravy a mitigácií od 10. júna 2026.
- Google Cloud Blog / Mandiant a GTIG – Mandiant a GTIG dokumentujú obnovené hromadné zneužívanie CVE-2026-35273 skupinou UNC6240/ShinyHunters, WAF bypass a odporúčané kroky obrany.
- NIST National Vulnerability Database – NVD uvádza produktové verzie, CVSS 9,8 a zaradenie chyby medzi známe aktívne zneužívané zraniteľnosti.
Overené a aktualizované: 28. 10. 2026 15:24
