Google / Mandiant erkennt neue Welle der Ausbeutung von CVE-2026-35273 in Oracle PeopreSoft PSEMHUB

Das Antwortteam von Google und Mandiant hat eine neue Welle der Massenausbeutung gegen die kritische Schwachstelle von Oracle PeopleSoft entdeckt, die als CVE-2026-35273(CVSS 9.8). Laut öffentlicher Analyse nutzen Angreifer einen Deerialisierungsausfall im PSEMHUB-Service, um eine Fernausführung ohne Authentifizierung zu erreichen, Türen und Exfilter-Daten aus mehreren Sektoren einzusetzen. Diese Tatsachen wurden von den Sicherheitsfirmen beschrieben, die die Vorfälle untersuchen; was folgt ist eine technische Zusammenfassung, die erwarteten Auswirkungen und konkrete Schritte, die Organisationen und Manager jetzt ergreifen sollten.

Was passiert ist (bestätigte Fakten): Google / Mandiant-Forscher berichteten, dass ein Track-Assistent wie UNC6240 - verbunden von der Branche mit der Familie ShinyHunters in dieser Kampagne - eine Explosion für CVE-2026-35273 modifizierte und begann, es auf einem großen Maßstab auszunutzen. Die Vermeidungstechnik bestand darin, den Buchstaben "P" auf der verletzlichen Route URL zu kodieren, "/% 50SEMHUB / Hub" anstelle von "/ PSEMHUB / Hub" anzurufen, der es vielen WAF-Regeln und Reverse-Proxies aufgrund des buchstäblichen Zufalls erlaubte, die Anfrage nicht zu erkennen; der PeopreSoft-Anwendungsserver dekodiert die Route und sendet sie an die verwundbaren Ursachen, wo ein Java-Depot. Nach diesem ersten Zugriff haben die Angreifer JSP Shells implementiert, einen defekten und signierten Installer (Ple64.exe) geladen, der einen Speicher Backdoor namens SIDEEYE injiziert, Neo-reGeorg für Tuning und MeshAgent (MeshCentral) für Persistenz in Linux-Systemen verwendet. Zu den gemeldeten Opfern gehören Hochschulbildung, Technologie, Gesundheit, Verkehr, Landwirtschaft und öffentliche Einrichtungen.

Wie es technisch funktioniert (bestätigte Angriffskette): der Vektor ist Java-Deerialisationsoperation in PSEMHUB-Hubservlet mit POSTs, die bösartige serialisierte Java-Objekte enthalten. Um WAF auszuweichen, wird die Route mit "% 50" (die ASCII-Kodierung für 'P') gesendet, so dass Zwischensysteme, die eine Anpassung vor der Dekodierung vornehmen, das schädliche Muster nicht erkennen. Einmal ausgenutzt, verlässt der Angreifer in der Regel zwei JSP-Web-Shells (x.jsp und u.jsp) auf PSEMHUB.war: man erleichtert Cross-Plattform-Befehlsausführung und der andere ermöglicht es Ihnen, Dateifragmente hochzuladen und cmd.exe unter Windows auszuführen. Mit diesen Fähigkeiten gehen sie bis zu Ple64.exe (gezeichnet scheinbar legitim), die die SIDEEYE Backdoor in den Speicher lädt und öffnet TCP-Kommunikation mit externen Servern (z.B. das IP beobachtet 162.219.30 [.] 165), erleichtern Diebstahl von Browser / Desktop-Berechtigungen, Prozess / Dateiverwaltung und Reverse Shells. Sie verwenden auch Neo-reGeorg, um den Verkehr und MeshAgent für legitimen Remote-Zugriff als Mittel der Beharrlichkeit.

Wer es betrifft und warum es zählt: beeinflusst Oracle People Weiche Bereitstellungen, die das Umweltmanagement-Modul (EMHub / PSEMHUB) aktiviert haben, insbesondere Ein-Server-Einrichtungen oder Multi-Server-Konfigurationen, die die Patches nicht angewendet haben. Die Konten und Datenbanken, die PeopleSoft enthalten, enthalten oft sensible Informationen (HRR, payroll, studentische Dateien, klinische Daten), so dass das Hauptrisiko ist Massendatendiebstahl und mögliche Erpressung durch öffentliche Verbreitung. Darüber hinaus erleichtert die Kombination von Ausführung als SYSTEM / Wurzel (ca. 25% der beobachteten Befehle) und Beharrlichkeit über RMM oder Hintertüren Nebenbewegungen und beeinträchtigt die Integrität der gesamten Infrastruktur.

Tatsächliche (bestätigte und wahrscheinliche) Konsequenzen: von den Forschern bestätigt ist die Implementierung von Web-Shells, Backdoors in Erinnerung und Verwendung von RMM; Exfiltration und Vorbereitung auf Erpressung (gewöhnliches Schauspielermuster) wurde auch beobachtet. Wahrscheinlich: Veröffentlichung von gestohlenen Daten über Flucht- und Erpressungskampagnen für Opfer; operative Auswirkungen aufgrund der fehlenden Verfügbarkeit von PeopleSoft-Diensten und hoher Sanierungskosten aufgrund der Notwendigkeit, engagierte Systeme wieder aufzubauen. Noch unsicher: Gesamtumfang der Datendiebstahl in jedem Opfer und ob alle Vorfälle mit derselben Aktivität oder mit Varianten der Explosion verknüpft sind.

Was bewiesen ist, dass Sie in Streit sind: wird von Mandiant / Google überprüft, dass es aktive Ausbeutung von CVE-2026-35273 und dass Angreifer verwenden WAF Vermeidung Techniken, Web Shells und Toolsets wie Neo-reGeorg und MeshAgent. Weniger unabhängig bestätigt ist die endgültige Zuschreibung an ShinyHunters bei allen Vorfällen und die öffentlichen Aussagen der Gruppe über andere Eindringlinge (z.B. eine Erklärung über einen angeblichen Angriff auf das FBI-Beschäftigungsportal wurde durch Mittel wie The Hacker News und das Register verbreitet, aber solche externen Aussagen erfordern zusätzliche Überprüfung durch die Behörden). Siehe die offiziellen technischen Berichte und Hinweise für die primären Bestätigungen: Mandiant / Google und die Oracle-Seite für PeopleSoft.

https: / / www.mandiant.com / Ressourcen / Blog(Research-Ressourcen und Event-Response-Blogs) und https: / / www.oracle.com / Anwendungen / peoplesoft-enterprise /(Oracle-Dokumentation und -hinweise) sind Ausgangspunkte für technische Validierung und Patches. Für kritische Schwachstellen und regulatorische Verpflichtungen siehe den Katalog der Schwachstellen, die von bekannten CISA-Aktakteuren ausgenutzt werden: https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog.

Spezifische und dringende Maßnahmen(Betriebskontrollliste, die IT / Sicherheitsausrüstung jetzt gelten sollte): sofort das veröffentlichte Patch, das CVE-2026-35273 repariert; wenn nicht möglich, deaktivieren Sie den Service Environment Management Hub in Multiserver-Umgebungen oder entfernen Sie PSEMHUB in einzelnen Server-Einrichtungen. Suchen Sie WebLogics Log und praktizieren Sie alle Anfragen an "/ PSEMHUB /" und jede Variante mit prozentualer Codierung (z.B. "/% 50SEMHUB /"); überprüfen Sie das PSEMHUB.war-Verzeichnis durch nichtlegitimate JSPs (x.jsp, u.jsp oder andere). Die Erfassung und Isolierung von Hosts mit MeshAgit-Prozessen oder die Kommunikation zu verdächtigen IPs (162.219.30 [.] 165 wurde in der Kampagne beobachtet. Tracking-Executables genannt Ple64.exe, unterzeichnete Anomalie, und jede Verwendung von Neo-reGeorg oder umgekehrte Tunnel. Verändern Sie die zugänglichen Anmeldeinformationen aus dem Service-Account von PeopleSoft und zwingen Sie Änderungen an Service- und Administrator-Account-Passwörtern; aktivieren Sie MFA, wo immer möglich. Prüfen Sie Datenbankdatensätze für Massenabfragen oder Exporte auf sensiblen Tabellen (HRR, Payroll, Studenten) und suchen Sie nach großen Dateien in / tmp oder Web-Verzeichnisse, die eventuelle braindumps enthalten könnten. Betrachten Sie im Falle einer Verpflichtungserkennung die Rekonstruktion aus sauberen Bildern und Backups-Verifikation; dokumentieren Sie die zeitliche Linie der Intrusion für regulatorische Meldungen und Vorbereitung auf mögliche Erpressung.

Zusätzliche Verteidigungsempfehlungen: die WAF-Regeln anpassen, um Routen nach canonicalization / decoding zu vergleichen oder bestimmte Signaturen einzufügen, um "% 50SEMHUB" und Varianten zu erkennen; EDR-Regeln implementieren, um gefährliche Java-Deerialisation und JSP-Web-Shell-Muster zu erkennen; segmentieren Sie das Netzwerk, um die seitliche Bewegungskapazität durch SSH zu begrenzen und den Umfang der Service-Konten zu reduzieren. Bereiten Sie Playbooks auf die Datenerpressung vor: bewahren Sie Beweise, koordinieren Sie mit Rechts- und Kommunikationsmitteln und zahlen Sie nicht ohne forensische und rechtliche Bewertung.

Endgültige Zusammenfassung: Die Ausbeutung von CVE-2026-35273 ist aktiv und hat sich als wirksam erwiesen durch die Kombination von WAF Evasion, Java-Deerialisierung und Verwendung von Persistenz / Backdoor-Tools, die Diebstahl und Erpressung erleichtern. Organisationen, die PeopleSoft nutzen, sollten Patches priorisieren und Kompromissindikatoren suchen; schnelle Erkennung und Rotation von Anmeldeinformationen sind unerlässlich, um Auswirkungen zu begrenzen und mit Garantien wieder aufzubauen.