Przejdź do treści
Luki i patche

Krytyczna luka w Oracle PeopleSoft wykorzystywana w atakach. Producent wydaje awaryjne zabezpieczenia

Oracle ostrzega przed krytyczną luką CVE-2026-35273 w PeopleSoft, wykorzystywaną przez grupę ShinyHunters. Podatność umożliwia zdalne wykonanie kodu bez uwierzytelnienia. Eksperci zalecają natychmiastowe wdrożenie tymczasowych zabezpieczeń.

3 min read
An abstract composition of a cracked glass shield hovering over a row of stylized university buildings, with a faint red glow emanating from the crack and a single golden key floating nearby.

„Uważamy wdrożenie zalecanych zabezpieczeń za działanie o najwyższym priorytecie i zdecydowanie zalecamy natychmiastowe podjęcie działań” – napisał Oracle w komunikacie z 11 czerwca 2026 roku. Producent ostrzega przed krytyczną luką w systemie PeopleSoft, która jest już wykorzystywana w atakach. Podatność dotyczy głównie organizacji z sektora edukacji, ale zagrożone są wszystkie firmy korzystające z tego oprogramowania. Najrozsądniejszą reakcją jest natychmiastowe wdrożenie tymczasowych zabezpieczeń i przygotowanie się na pełną aktualizację.

Krytyczna luka w PeopleSoft – co wiemy

Podatność oznaczona jako CVE-2026-35273 dotyczy Oracle PeopleSoft PeopleTools w wersjach 8.61 i 8.62. Według producenta ma ona CVSS 9.8, co oznacza najwyższy poziom ryzyka. Luka umożliwia zdalne wykonanie kodu bez uwierzytelnienia – atakujący nie potrzebuje żadnych danych logowania, by przejąć kontrolę nad podatnym systemem. Oracle wydał awaryjne zabezpieczenia, ale pełna łatka ma pojawić się dopiero w kolejnej aktualizacji.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak podaje SecurityWeek, Oracle nie potwierdził w swoim komunikacie, że luka jest aktywnie wykorzystywana. Nie jest to jednak zaskakujące – firma często pomija ten szczegół w publicznych dokumentach. Tymczasem badacze z TrendAI, którym Oracle przypisuje zgłoszenie podatności, przyznali, że „obserwujemy ograniczoną eksploatację, ale nasze dochodzenie trwa”.

Kto jest celem ataków

Z informacji opublikowanych przez BleepingComputer wynika, że za atakami stoi grupa ShinyHunters, znana z wcześniejszych włamań do SnowFlake, Salesforce i innych platform. Hakerzy twierdzą, że wykorzystali łańcuch starych luk oraz nowego zero-daya, by uzyskać dostęp do danych. Według ich własnych deklaracji zaatakowali 300 instancji PeopleSoft należących do ponad 100 organizacji.

Mandiant, firma zajmująca się reagowaniem na incydenty, potwierdziła eksploatację luki CVE-2026-35273 jako zero-day. W swoim raporcie wskazała, że 68% zaatakowanych organizacji działa w sektorze szkolnictwa wyższego. Atakujący wykorzystali m.in. serwery stagingowe do hostowania usług HTTP oraz niestandardowe agenty MeshCentral do komunikacji z infrastrukturą sterującą, która maskowała się jako usługi Microsoft Azure.

Jak się bronić – praktyczne kroki

Oracle udostępnił tymczasowe zabezpieczenia, które należy wdrożyć natychmiast. Pełna lista podatnych wersji i instrukcje znajdują się w oficjalnym komunikacie producenta. Do czasu wydania łatki zaleca się:

  • Ograniczenie dostępu do podatnych endpointów PeopleSoft, szczególnie tych wystawionych do publicznego internetu.
  • Monitorowanie logów pod kątem podejrzanych żądań kierowanych do ścieżek /PSEMHUB/ oraz /PSIGW/HttpListeningConnector.
  • Sprawdzenie serwerów pod kątem obecności nieoczekiwanych plików .jsp w katalogach WebLogic, nieautoryzowanych plików w folderach transakcyjnych PSEMHUB oraz podejrzanych katalogów, takich jak logs, persistantstorage czy scratchpad.
  • Przegląd zmodyfikowanych plików XML, które mogą służyć do utrzymania trwałego dostępu lub wywołania kodu po restarcie systemu.

Mandiant podkreśla, że atakujący wykorzystywali skradzione lub zakodowane na stałe dane uwierzytelniające do przemieszczania się po wewnętrznej sieci. Dlatego warto również przejrzeć uprawnienia kont i wdrożyć wieloskładnikowe uwierzytelnianie tam, gdzie to możliwe.

Co dalej

Oracle zapowiedział wydanie pełnej łatki w najbliższym czasie. Do tego momentu kluczowe jest stosowanie tymczasowych zabezpieczeń i bieżące monitorowanie systemów. Organizacje z sektora edukacji, ale także inne firmy korzystające z PeopleSoft, powinny traktować tę sprawę priorytetowo. Jak zauważył Dustin Childs z TrendAI, eksploatacja luki jest na razie ograniczona, ale sytuacja może się szybko zmienić. Warto śledzić komunikaty Oracle i CERT Polska, które na bieżąco informują o nowych zagrożeniach.

#bezpieczeństwo IT #CVE-2026-35273 #luka krytyczna #Oracle PeopleSoft #ShinyHunters #zero-day
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read