Šta se desilo?

Hakerska grupa ShinyHunters, koju Google prati pod oznakom UNC6240, sprovela je kampanju napada na organizacije koje koriste Oracle PeopleSoft. Napadači su između 27. maja i 9. juna 2026. godine iskorišćavali ranije nepoznatu ranjivost CVE-2026-35273, pre nego što je Oracle javno objavio bezbednosno upozorenje.

Ranjivost omogućava udaljeno izvršavanje koda bez prethodne autentifikacije i ocenjena je sa 9.8 od maksimalnih 10 prema CVSS 3.1 sistemu.

Google Mandiant i Google Threat Intelligence Group obavestili su više od 100 organizacija čiji su sistemi bili potencijalno izloženi. Broj obaveštenih organizacija nije broj potvrđenih žrtava. Najveći deo identifikovanih meta pripadao je sektoru visokog obrazovanja, ali su pogođene i organizacije iz drugih sektora.

Koga pogađa?

Najveći rizik postoji za organizacije koje koriste Oracle PeopleSoft PeopleTools 8.61 i 8.62 bez odgovarajućih ispravki, posebno kada su odgovarajuće komponente dostupne sa interneta.

PeopleSoft se koristi za upravljanje osetljivim poslovnim procesima, uključujući ljudske resurse, zarade, finansije, studentske evidencije i druge poslovne podatke. Zbog toga uspešan napad može napadačima omogućiti pristup velikoj količini poverljivih informacija.

Napadi su zabeleženi i u cloud i u lokalno postavljenim PeopleSoft okruženjima, pa sama lokacija sistema nije dovoljna zaštita.

Kako se zaštititi?

  • Odmah primenite Oracle bezbednosne ispravke i preporučene mitigacije za CVE-2026-35273.
  • Prema Oracle uputstvu isključite nepotreban EMHub servis ili uklonite PSEMHUB aplikaciju, zavisno od konfiguracije, i ograničite pristup administrativnim komponentama.
  • Pri proveri logova obuhvatite i URL-kodirane putanje; proverite neočekivane JSP fajlove i MeshCentral agente. Posle kompromitovanja rotirajte kredencijale dostupne servisnom nalogu.
  • Pregledajte logove i druge bezbednosne podatke kako biste utvrdili da li postoje znaci kompromitovanja pre instaliranja zakrpe.
  • Nemojte pretpostaviti da instaliranje zakrpe uklanja napadača ako je sistem već ranije kompromitovan.
  • Primenite princip najmanjih privilegija i ograničite pristup administrativnim funkcijama i osetljivim podacima.
  • Segmentirajte kritične poslovne sisteme od drugih delova mreže kako biste otežali dalje kretanje napadača.
  • Koristite višefaktorsku autentifikaciju gde god je moguće, posebno za administrativne i privilegovane naloge.
  • Održavajte odvojene, testirane i zaštićene rezervne kopije kritičnih sistema i podataka.
  • Pratite upozorenja proizvođača i informacije o ranjivostima koje se aktivno iskorišćavaju.

Tehnički detalji

CVE-2026-35273 predstavlja kritičnu ranjivost za udaljeno izvršavanje koda u Oracle PeopleSoft PeopleTools Environment Management komponenti. Ranjivost može biti iskorišćena preko mreže bez korisničkog naloga ili lozinke.

Mandiant je utvrdio da su napadači iskorišćavali ranjivost pre njenog javnog objavljivanja, zbog čega se tokom kampanje radilo o zero-day ranjivosti.

Nakon ostvarivanja pristupa, napadači su koristili prilagođene MeshCentral agente za održavanje pristupa kompromitovanim sistemima i izvršavanje komandi. Delovi infrastrukture i procesa bili su maskirani tako da podsećaju na legitimne cloud servise.

Ukupan broj kompromitovanih organizacija nije potvrđen u korišćenim izveštajima. Mandiant je potvrdio krađu podataka kod dela pogođenih organizacija.

Oracle je 10. juna objavio bezbednosno upozorenje za CVE-2026-35273, a kasnije je preporučio korisnicima da primene odgovarajuće PeopleSoft bezbednosne ispravke bez odlaganja.

Dopuna prema izveštaju Mandianta od 25. septembra 2026: potvrđen je novi talas napada i postavljanje web shellova na desetine sistema širom sveta. Napadači su URL kodiranjem zaobilazili pravila WAF-a koja su blokirala putanju PSEMHUB. Blokiranje putanje nije zamena za zakrpu.

Zašto je važno?

Izveštaji ne potvrđuju žrtve u Srbiji ili regionu. Ovaj incident pokazuje da jedan internet-dostupan poslovni sistem može postati direktna ulazna tačka u organizaciju ako sadrži ozbiljnu ranjivost.

Tradicionalna obodna zaštita poput firewall-a nije dovoljna ako legitimna aplikacija koja je namerno dostupna sa interneta sadrži ranjivost koja omogućava izvršavanje koda bez autentifikacije.

Zbog toga organizacije treba da kombinuju brzo upravljanje ranjivostima sa segmentacijom mreže, principom najmanjih privilegija, kontinuiranim nadzorom i Zero Trust pristupom kojim se svaki pristup kritičnim resursima dodatno proverava.

Preporuka Sajber Radara

Ako koristite Oracle PeopleSoft, proverite da li je okruženje pogođeno ranjivošću CVE-2026-35273, odmah primenite dostupne Oracle bezbednosne ispravke i analizirajte sisteme zbog mogućih znakova ranijeg kompromitovanja.

Dugoročno, nemojte se oslanjati samo na obodnu zaštitu. Ograničite internet-dostupnost administrativnih komponenti, primenjujte princip najmanjih privilegija, segmentaciju i Zero Trust pristup, i redovno testirajte mogućnost oporavka kritičnih sistema.