WORLDTECHShinyHunters利用的Oracle PeopleSoft零日漏洞实为三个串联漏洞
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
ShinyHunters（黑客组织）自5月起利用的Oracle PeopleSoft严重漏洞，并非单一缺陷，而是三个漏洞串联而成，报告该漏洞的研究人员本周表示。Oracle于2026年6月以单一编号CVE-2026-35273修复了这三个漏洞。Oracle是一家总部位于加利福尼亚州红木城的信息技术咨询和软件开发公司，其产品和服务包括API管理、关系型数据库管理系统和数据库管理系统等。
ShinyHunters 利用的 Oracle PeopleSoft 零日漏洞实为三个串联的漏洞 Swati Khandelwal 2026年10月28日 漏洞 / 企业安全 报告者本周表示，ShinyHunters 自5月以来一直利用的这一严重 Oracle PeopleSoft 漏洞并非单一缺陷，而是三个漏洞串联而成。
零日漏洞计划（ZDI）在其分析中称，他们在两个PeopleSoft组件中报告了三个不同的漏洞，并正与Oracle合作为每个漏洞分配单独的CVE编号。Oracle于6月10日通过带外安全公告发布了修复程序。
该漏洞已列入美国网络安全和基础设施安全局（CISA）的已知被利用漏洞目录。其根源是服务器端请求伪造（SSRF）漏洞：PeopleSoft默认信任自身的回环地址，攻击者借此可访问内部管理接口，并在无需登录的情况下实现远程代码执行（即从另一台机器上运行程序）。
该漏洞由零日漏洞计划（ZDI）的Bobby Gould拆解分析，其团队已将此漏洞报告给Oracle。截至本周，记录在案的仍只有6月发布的这一个编号。
CVE-2026-35273影响PeopleSoft Enterprise PeopleTools 8.61和8.62版本，CVSS评分为9.8，未经身份验证的攻击者可通过网络接管服务器。在该修复程序发布之前，攻击者已在利用此漏洞。