Hızlı Özet
- ShinyHunters grubunun sömürdüğü kritik PeopleSoft açığı aslında birbirine zincirlenmiş üç ayrı kusurdan oluşuyor.
- Oracle, haziran ayında tüm bu zinciri tek bir tanımlayıcı olan CVE-2026-35273 ile yamaladı.
- Saldırganlar, güvenlik duvarı kurallarını aşmak için URL kodlama hilesi kullandı.
- Kurumların yama yapıncaya kadar Environment Management Hub servisini devre dışı bırakması gerekiyor.
ShinyHunters grubunun mayıs ayından bu yana aktif olarak sömürdüğü kritik Oracle PeopleSoft açığının, tek bir hatadan ibaret olmadığı ortaya çıktı. Zero Day Initiative (ZDI) araştırmacılarının paylaştığı analiz, arka planda birbirine bağlanan üç farklı zafiyetin çalıştığını gösteriyor. Sektörde tek bir sorun gibi görünen bu olay, kurumsal güvenlik duvarlarının arkasındaki zafiyet zincirini gözler önüne serdi. Yanıltıcı olan tek detay ise ortada tek bir CVE numarasının bulunmasıydı.
Oracle, haziran ayında yayınladığı güvenlik uyarısıyla bu durumu kapattı. CVE-2026-35273 kodlu açık, CVSS tablosunda 9.8 puanla değerlendiriliyor. Kimlik doğrulama gerektirmeyen zafiyet, ağ üzerinden sunucunun tamamen ele geçirilmesine yol açıyor. Üniversitelerden teknoloji şirketlerine kadar pek çok kurumu hedef alan saldırılar, yamanın yayınlandığı tarihten hemen önce gerçekleştiği için sıfır gün vakası olarak kayıtlara geçti.
Bu Üç Zafiyet Nasıl Zincirlendi?
Sistemin kalbindeki sorun, PeopleSoft’un varsayılan olarak kendi yerel geri döngü adresine güvenmesinden kaynaklanıyor. ZDI analizi, iki ayrı web uygulamasının bu zincirde nasıl rol oynadığını ortaya koyuyor. Dış sistemlerle mesajlaşan Integration Gateway bileşeni, gelen isteklerin hedefini kontrol etmiyor. Bu durum sunucu taraflı istek sahteciliği açığını doğuruyor.
Environment Management Hub adlı dahili yönetim arayüzü, sadece güvenli listedeki adreslerden gelen istekleri kabul etmesi için tasarlanmıştı. allowedhosts.properties dosyasında 127.0.0.1 adresi yer alıyordu. Saldırgan, SSRF açığını kullanarak isteği bu yerel adrese yönlendirdi. İstek makinenin kendisinden geliyormuş gibi göründü ve güvenlik kontrolünü geçti. Normalde dış dünyaya kapalı olması gereken iç arayüz böylece savunmasız kaldı.
Erişim sağlandıktan sonra kod yürütme aşamasına geçiliyordu. ZDI, bu noktada iki farklı yol keşfetti. Birinci yöntemde log yazma komutu kötüye kullanıldı ve disk üzerine doğrudan bir web kabuğu yazıldı. İkinci yöntemde ise Java XMLDecoder tarafından okunan kötü amaçlı bir XML dosyası bırakıldı. İkinci yol, standart güvenlik araçlarının tespit etmesini zorlaştırıyordu.
| Bileşen Adı | Normal Görevi | Zafiyetteki Rolü |
|---|---|---|
| Integration Gateway (PSIGW) | Dış sistemlerle mesaj alışverişi yapmak | SSRF zafiyetine ev sahipliği yaparak istekleri yönlendirmek |
| Environment Management Hub (PSEMHUB) | Dahili yönetim ve idari işlemleri yürütmek | Yerel adres güvenini suiistimal ettirerek komut çalıştırmak |
Güvenlik Duvarları Neden Yetersiz Kaldı?
Eylül ayındaki son dalgada Mandiant, saldırganların web uygulaması güvenlik duvarı kurallarını nasıl atlattığını belgeledi. /PSEMHUB/ yolunu engelleyen kurallar, URL kodlama teknikleriyle baypas edildi. Saldırganlar isteği düz metin olarak değil, /%50SEMHUB/ şeklinde iletti. PeopleSoft sunucusu bu karakteri çözerken, standart WAF kuralları bunu yakalayamadı.
Genişleyen Hedef Listesi ve Kampanya Boyutu
Mandiant ve Google Threat Intelligence Group (GTIG) tarafından yürütülen izleme çalışmaları, ShinyHunters (UNC6240) grubunun faaliyet alanının zaman içinde genişlediğini ortaya koydu. Mayıs ve haziran başı arasındaki ilk dönemde saldırıların odak noktası üniversiteler oldu. Ancak eylül ayındaki ikinci dalgada tablo değişti. Eğitim kurumlarının dışına taşan kampanyada teknoloji, bilişim hizmetleri, sağlık, tarım, ulaştırma ve devlet kurumlarına ait sistemler hedef alındı. Küresel ölçekte onlarca sistem bu süreçten etkilendi.
Etkilenen Kurumlar Ne Yapmalı?
Atılması gereken somut adımlar Oracle ve Mandiant tarafından çizildi. İlk ve en önemli adım, CVE-2026-35273 için yayınlanan güvenlik yamalarının uygulanmasıdır. Desteklenen PeopleTools sürümlerinde kalmak önem taşıyor. WAF kurallarına güvenerek yama ertelemek çözüm sunmuyor.
Yama yapma imkanı bulunmayan sistemler için geçici çözümler mevcut. Çoklu sunucu kurulumlarında Environment Management Hub servisinin devre dışı bırakılması öneriliyor. Tek sunuculu kurulumlarda ise PSEMHUB uygulamasının kaldırılması gerekiyor. Bu idari uç noktaların kısıtlanması normal kullanıcı oturumlarını kesintiye uğratmıyor.
Mandiant, web kabuğu bulunan herhangi bir hostun ele geçirilmiş sayılmasını tavsiye ediyor. Kanıtların saklanması ve PeopleSoft katmanından erişilebilecek tüm kimlik bilgilerinin sıfırlanması gerekiyor. ShinyHunters verileri çalıp fidye talep ettiği için kurumların bu senaryoya hazırlıklı olması şart. Yamayı uygulamak, saldırganın önceden kazandığı erişimi ortadan kaldırıyor mu sorusunun yanıtı ise kaynaklarda henüz yer almıyor.
Kaynak: The Hacker News
