Cve-2026-35273

Zero Day Initiative เผยว่า CVE-2026-35273 ช่องโหว่ Oracle PeopleSoft ที่ ShinyHunters ใช้เจาะมาตั้งแต่พฤษภาคม แท้จริงเป็น 3 ช่องโหว่ต่อกันที่ Oracle แก้รวมไว้ใต้หมายเลขเดียว จุดเริ่ม คือ SSRF ใน Integration Gateway ที่ยิงไปยัง 127.0.0.1 ซึ่ง Environment Management Hub เชื่อใจตั้งแต่ติดตั้ง จากนั้นเขียน web shell หรือไฟล์ XML เพื่อรันโค้ดโดยไม่ต้องล็อกอิน Mandiant พบผู้โจมตีหลบกฎ WAF ด้วยการเข้ารหัส URL ตัวอักษรเดียว ควรแพตช์ ปิด PSEMHUB ถ้ายังแพตช์ไม่ได้ และเปลี่ยนข้อมูลยืนยันตัวตนทั้งหมด

กลุ่มขู่กรรโชกไซเบอร์ ShinyHunters อ้างว่าเจาะเข้า FBI และขโมยข้อมูลของเจ้าหน้าที่ทั้งอดีตและปัจจุบัน รวมถึงผู้ที่ยื่นใบสมัครงาน โดยกลุ่มระบุว่าเจาะผ่านช่องโหว่ zero-day ของ Oracle PeopleSoft และเปลี่ยนหน้าเว็บ FBIjobs.gov เป็นข้อความว่าถูกยึด FBI ยืนยันว่ากำลังสอบสวนแต่ยังไม่ทราบจุดที่ถูกเจาะว่าเป็นระบบตนเองหรือผู้ให้บริการภายนอก กลุ่มอ้างว่าได้ข้อมูลราว 2 TB จากหลายบริการภายในและยืนยันว่าไม่ได้มีแรงจูงใจทางการเงิน