สรุปสั้น
CVE-2026-35273 คือ ช่องโหว่ระดับวิกฤตใน Oracle PeopleSoft ที่กลุ่ม ShinyHunters ใช้เจาะมหาวิทยาลัยตั้งแต่ก่อน Oracle จะออกแพตช์ฉุกเฉินเมื่อวันที่ 10 มิถุนายน ตามที่รายงานไว้ใน 2026/06/081 และต่อมาถูกโยงกับเหตุที่ ShinyHunters อ้างว่าเจาะ FBI ใน 2026/09/167 ล่าสุดนาย Bobby Gould จาก Zero Day Initiative (ZDI) ทีมที่รายงานช่องโหว่นี้ให้ Oracle เปิดเผยว่าสิ่งที่ Oracle แก้ภายใต้หมายเลขเดียว แท้จริงเป็นช่องโหว่ 3 ตัวใน 2 คอมโพเนนต์ที่ต่อกันเป็นสายโจมตี จุดเริ่ม คือ ช่องโหว่ SSRF ซึ่งทำให้ผู้โจมตีสั่งเซิร์ฟเวอร์ส่งคำขอแทนตนเองได้ โดยยิงไปยังที่อยู่ 127.0.0.1 ของเครื่องเอง ซึ่งหน้าจัดการภายในของ PeopleSoft เชื่อใจตั้งแต่ติดตั้ง จากนั้นจึงรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน
ในช่วงเดียวกัน Mandiant รายงานว่า ShinyHunters ขยายการโจมตีระลอกใหม่เมื่อกันยายนจากภาคการศึกษาไปยังเทคโนโลยี สาธารณสุข การเกษตร การขนส่ง และภาครัฐ ทั้งยังหลบกฎไฟร์วอลล์เว็บแอปพลิเคชัน (WAF) ที่บล็อกเส้นทาง /PSEMHUB/ ด้วยการเข้ารหัส URL เพียงตัวอักษรเดียว องค์กรที่คิดว่ากฎ WAF ป้องกันไว้แล้วจึงอาจยังเปิดอยู่ ผู้ดูแล PeopleSoft ต้องติดตั้งแพตช์ของ Oracle ทันที ถ้ายังทำไม่ได้ให้ปิด Environment Management Hub และถ้าอาจโดนแล้วต้องล่าหา web shell และเปลี่ยนข้อมูลยืนยันตัวตนทุกตัวที่เข้าถึงได้จากเซิร์ฟเวอร์ PeopleSoft
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่า ZDI เผยแพร่บทวิเคราะห์ CVE-2026-35273 และระบุว่าได้รายงานช่องโหว่แยกกัน 3 ตัวให้ Oracle และกำลังทำงานร่วมกับ Oracle เพื่อออกหมายเลข CVE แยกให้แต่ละตัว แต่จนถึงสัปดาห์นี้หมายเลขเดียวของเดือนมิถุนายนยังเป็นหมายเลขเดียวที่มีในระบบ
ไทม์ไลน์ของเหตุการณ์มีดังนี้ Mandiant และ Google Threat Intelligence Group (GTIG) ระบุว่ากลุ่มที่ติดตามในชื่อ UNC6240 หรือที่รู้จักกันในชื่อ ShinyHunters ใช้ช่องโหว่นี้ระหว่างวันที่ 27 พฤษภาคมถึง 9 มิถุนายน 2026 โดยเป้าหมายส่วนใหญ่เป็นมหาวิทยาลัย เมื่อการโจมตีเกิดก่อนประกาศของ Oracle ในวันที่ 10 มิถุนายน จึงเป็น zero-day ตลอดช่วงนั้น จากนั้นเดือนกันยายน Mandiant รายงานการโจมตีระลอกใหม่ที่ใหญ่กว่าเดิม ลามไปภาคเทคโนโลยี บริการไอที สาธารณสุข การเกษตร การขนส่ง และภาครัฐ กระทบระบบหลายสิบระบบทั่วโลก ช่องโหว่นี้อยู่ในรายการ Known Exploited Vulnerabilities (KEV) ของ CISA แล้ว
ข้อจำกัดของข้อมูลที่ต้องรู้ คือ บทวิเคราะห์ของ ZDI อธิบายตัวช่องโหว่ ไม่ได้ครอบคลุมการตอบสนอง คำแนะนำในข่าวนี้จึงมาจาก Oracle และ Mandiant นอกจากนี้ทั้ง Oracle และ Mandiant ไม่ได้ระบุว่าการแพตช์จะตัดสิทธิ์ที่ผู้โจมตีได้ไปแล้วหรือไม่ และคำแนะนำของ Mandiant ให้เปลี่ยนข้อมูลยืนยันตัวตนกับล่าหา web shell ก็ตั้งอยู่บนสมมติฐานว่าไม่ตัด
รายละเอียดช่องโหว่
คอมโพเนนต์ที่เกี่ยวข้อง — ช่องโหว่ทั้งสายอยู่ใน 2 คอมโพเนนต์ที่รันเป็นเว็บแอปพลิเคชันแยกกัน ได้แก่ Integration Gateway (PSIGW) ที่รับส่งข้อความกับระบบภายนอก และ Environment Management Hub (PSEMHUB) ซึ่งเป็นหน้าจัดการภายในที่ควรตอบเฉพาะเครื่องที่เชื่อถือได้
- ผลิตภัณฑ์ที่กระทบ: PeopleSoft Enterprise PeopleTools 8.61 และ 8.62
- CVSS 9.8 ผู้โจมตีไม่ต้องยืนยันตัวตนและยึดเซิร์ฟเวอร์ผ่านเครือข่ายได้
- แก้ใน Oracle Security Alert นอกรอบเมื่อวันที่ 10 มิถุนายน 2026 · อยู่ใน KEV ของ CISA
ขั้นที่ 1: SSRF ใน PSIGW — ผู้โจมตีส่งคำขอไปยัง listening connector ของ PSIGW และกำหนดได้ทั้งปลายทางที่จะส่งต่อและเนื้อหาทั้งหมดของคำขอ เพราะตัวจัดการคำขอไม่ตรวจว่าปลายทางเป็นเป้าหมายที่ถูกต้องหรือไม่ ลำพัง SSRF ตัวนี้มีผลจำกัด แต่ปัญหาอยู่ที่สิ่งที่มันเข้าถึงได้
ขั้นที่ 2: PSEMHUB เชื่อใจ 127.0.0.1 ตั้งแต่ติดตั้ง — PSEMHUB ตัดสินว่าจะเชื่อใจใครจากรายการในไฟล์ allowedhosts.properties ซึ่งมีที่อยู่ loopback 127.0.0.1 อยู่ในรายการตั้งแต่ติดตั้ง เมื่อผู้โจมตีชี้ SSRF ไปที่ 127.0.0.1 คำขอจะดูเหมือนมาจากตัวเครื่องเองและผ่านการตรวจ หน้าจัดการภายในที่ Oracle ตั้งใจกั้นไว้จึงเข้าถึงได้จากภายนอก ZDI ระบุว่านี่ คือ การตัดสินใจเชิงออกแบบที่เป็นแก่นของปัญหา เพราะเมื่อมี SSRF การอนุญาต loopback ตั้งแต่ติดตั้งทำให้การตรวจความน่าเชื่อถือไร้ผล
ขั้นที่ 3: จากการเข้าถึงสู่การรันโค้ด มี 2 ทาง — ทางแรกใช้คำสั่งของ PSEMHUB ที่ออกแบบไว้เขียนล็อก ผู้เรียกกำหนดได้ทั้งเนื้อหาและพาธของไฟล์บนดิสก์ ผู้โจมตีจึงเขียน web shell ลงโฟลเดอร์ของแอปพลิเคชันแล้วรันคำสั่งด้วยสิทธิ์บัญชีบริการของ PeopleSoft ทางที่สองเขียนไฟล์ XML อันตรายที่ PSEMHUB จะอ่านด้วย XMLDecoder ของ Java เมื่อบริการเริ่มทำงานครั้งถัดไป โค้ดของผู้โจมตีจึงรันโดยไม่ต้องวาง web shell เลย ทางนี้ทิ้งร่องรอยให้เครื่องมือตรวจจับทั่วไปน้อยกว่า
การหลบ WAF ในระลอกกันยายน — Mandiant พบว่า ShinyHunters ขอหน้า /%50SEMHUB/ แทน /PSEMHUB/ โดยเข้ารหัส URL ตัวอักษร P ตัวเดียว กฎ WAF จำนวนมากเทียบข้อความของพาธตรง ๆ จึงปล่อยผ่าน ขณะที่เซิร์ฟเวอร์ PeopleSoft ถอดรหัสแล้วตอบหน้า PSEMHUB ตามปกติ
ร่องรอยที่ใช้ตรวจหา — คำขอไปยัง listening connector ของ PSIGW ที่ระบุปลายทางเป็น 127.0.0.1 คำขอไปยังพาธ PSEMHUB ทั้งแบบตรงและแบบเข้ารหัส URL ไฟล์ใหม่ในโฟลเดอร์ของแอปพลิเคชัน และไฟล์ XML ที่ PSEMHUB อ่านตอนเริ่มบริการ
ผลกระทบ
กลุ่มที่โดนโดยตรง คือ องค์กรที่ใช้ PeopleSoft PeopleTools 8.61 หรือ 8.62 เปิดสู่อินเทอร์เน็ตโดยยังไม่ได้แพตช์ ซึ่งเริ่มจากมหาวิทยาลัยแล้วลามไปหลายภาคส่วนรวมถึงหน่วยงานรัฐ PeopleSoft มักเก็บข้อมูลบุคลากร นักศึกษา และการเงิน ผลที่ตามมาจริงจึงเป็นการขโมยข้อมูลจำนวนมาก แล้ว ShinyHunters ตามด้วยการข่มขู่เรียกเงิน
ประเด็นที่ทำให้ข่าวนี้ยังเร่งด่วนแม้แพตช์ออกมาหลายเดือนแล้ว คือ องค์กรที่เลือกบล็อกพาธด้วย WAF แทนการแพตช์อาจยังเปิดอยู่จากเทคนิคเข้ารหัส URL และทางรันโค้ดผ่าน XMLDecoder ไม่ทิ้ง web shell ไว้ให้เห็น องค์กรที่เคยตรวจแล้วไม่พบ web shell จึงยังสรุปไม่ได้ว่าปลอดภัย
คำแนะนำ
- ติดตั้งแพตช์ของ Oracle ทันที — ติดตั้งการแก้ไขตาม Oracle Security Alert สำหรับ CVE-2026-35273 และใช้ PeopleTools รุ่นที่ยังได้รับการสนับสนุน Mandiant ย้ำว่าการบล็อกพาธด้วย WAF ใช้แทนการแพตช์ไม่ได้
- ถ้ายังแพตช์ไม่ได้ ให้ปิด PSEMHUB — ตามคำแนะนำของ Oracle ให้ปิดบริการ Environment Management Hub ในระบบแบบหลายเซิร์ฟเวอร์ หรือถอดแอปพลิเคชัน PSEMHUB ในระบบเซิร์ฟเวอร์เดียว การจำกัด endpoint จัดการเหล่านี้ไม่กระทบ session ของผู้ใช้ทั่วไป
- แก้กฎ WAF ให้ถอดรหัส URL ก่อนเทียบพาธ — ให้กฎจับทั้ง /PSEMHUB/ และรูปแบบที่เข้ารหัส เช่น /%50SEMHUB/ โดยถือเป็นการป้องกันเสริมเท่านั้น
- ตรวจว่าโดนแล้วหรือยัง — ไล่ล็อกหาคำขอไปยัง PSIGW ที่ระบุปลายทางเป็น 127.0.0.1 คำขอไปยังพาธ PSEMHUB ไฟล์ใหม่ในโฟลเดอร์ของแอปพลิเคชัน และไฟล์ XML ที่ผิดปกติ เพราะทางรันโค้ดแบบ XML ไม่ทิ้ง web shell
- ถ้าพบว่าโดนแล้ว — Mandiant แนะนำให้ถือว่าเครื่องที่มี web shell ถูกเจาะแล้ว เก็บหลักฐาน และเปลี่ยนข้อมูลยืนยันตัวตนทุกตัวที่เข้าถึงได้จากชั้น PeopleSoft เพราะการแพตช์ไม่ได้ไล่ผู้โจมตีที่อยู่ข้างในออกไป และเตรียมรับมือการข่มขู่เรียกเงิน