Пост Один CVE - три уязвимости: раскрыты детали взлома Oracle PeopleSoft, которым пользовалась ShinyHunters.

Один CVE - три уязвимости: раскрыты детали взлома Oracle PeopleSoft, которым пользовалась ShinyHunters. Исследователи ZDI выяснили, что за CVE-2026-35273 с оценкой CVSS 9.8 скрываются три ошибки в двух компонентах PeopleSoft. Начало цепочки – SSRF: атакующий заставляет сервер отправить запрос к собственному внутреннему интерфейсу управления. Этот интерфейс по умолчанию доверяет обращениям с 127.0.0.1. Поэтому внешний запрос, перенаправленный самим сервером, проходит проверку как локальный. Полученный доступ открывает два пути к выполнению кода без авторизации: через произвольную запись файлов или небезопасную обработку XML. Oracle закрыла все три проблемы 10 июня, объединив их под одним CVE. ShinyHunters эксплуатировала цепочку ещё до выхода исправления, первоначально атакуя преимущественно университеты. Затронуты PeopleTools 8.61 и 8.62. Блокировка отдельных URL на WAF не заменяет патч. Если сервер уже взломан, обновления также недостаточно – нужны проверка компрометации и смена доступных ему учётных данных. https://thehackernews.com/2026/10/shinyhunters-exploited-oracle.html