ShinyHunters снова эксплуатирует уязвимость CVE-2026-35273 в Oracle PeopleSoft с оценкой 9,8 балла. Вместо привычного пути /PSEMHUB/ злоумышленники обращаются к /%50SEMHUB/, где %50 означает букву P в URL-кодировке. Многие WAF и обратные прокси сверяют исходную строку с правилами и пропускают такой запрос, а WebLogic затем декодирует адрес и передаёт его уязвимому компоненту.
После успешного взлома группировка размещает JSP-веб-шеллы или выполняет команды вовсе без записи файлов на диск. Из-за этого компрометацию сложнее обнаружить по появлению подозрительных файлов. На Windows-серверах устанавливается бэкдор SIDEEYE, а на Linux применяется легитимный инструмент MeshAgent.
Новая волна затронула высшее образование, технологический сектор, здравоохранение, транспорт и госструктуры. PeopleSoft особенно интересен вымогателям, поскольку хранит кадровые, зарплатные и студенческие данные. Mandiant и Google советуют установить исправление Oracle, отключить Environment Management Hub при отсутствии необходимости и искать в журналах URL-кодированные варианты пути.
После успешного взлома группировка размещает JSP-веб-шеллы или выполняет команды вовсе без записи файлов на диск. Из-за этого компрометацию сложнее обнаружить по появлению подозрительных файлов. На Windows-серверах устанавливается бэкдор SIDEEYE, а на Linux применяется легитимный инструмент MeshAgent.
Новая волна затронула высшее образование, технологический сектор, здравоохранение, транспорт и госструктуры. PeopleSoft особенно интересен вымогателям, поскольку хранит кадровые, зарплатные и студенческие данные. Mandiant и Google советуют установить исправление Oracle, отключить Environment Management Hub при отсутствии необходимости и искать в журналах URL-кодированные варианты пути.