BEDROHUNG
Kriminelle missbrauchen die kritische Oracle-PeopleSoft-Schwachstelle CVE-2026-35273 erneut in
großangelegten Angriffen. Die Lücke ermöglicht nicht authentifizierten Angreifern Remote Code Execution. Angreifer nutzten sie bereits im Mai und Juni als Zero-Day aus. Nun setzt ShinyHunters, auch als UNC6240 geführt, sie gegen Organisationen verschiedener Branchen ein.
Laut Mandiant haben die Angreifer ihren Exploit angepasst, um WAF-Regeln zu umgehen, die den verwundbaren PSEMHUB-Endpunkt blockieren. Statt /PSEMHUB/ rufen sie beispielsweise /%50SEMHUB/ auf und kodieren dabei das „P“ als URL-Zeichen. Viele WAFs und Reverse Proxies prüfen den Pfad vor der URL-Dekodierung und erkennen diese Variante deshalb nicht. Der PeopleSoft-Server dekodiert die Anfrage dagegen und leitet sie anschließend weiter.
Für den Angriff senden die Täter präparierte POST-Anfragen mit serialisierten Java-Objekten an den PSEMHUB-Endpunkt. In beobachteten Fällen legten sie anschließend Webshells in den betroffenen PeopleSoft-Umgebungen ab und führten Befehle aus. Im weiteren Verlauf setzten sie unter anderem MeshAgent für persistenten Fernzugriff sowie zusätzliche Backdoors und Tunnel-Tools ein. Etwa ein Viertel der von Mandiant beobachteten Befehle lief mit Root- beziehungsweise SYSTEM-Rechten.
Die Kampagne trifft unter anderem Organisationen aus Bildung, Technologie, IT-Dienstleistungen, Gesundheitswesen, Landwirtschaft, Transport und öffentlicher Verwaltung. Mandiant betont, dass WAF-Regeln die Installation des Oracle-Patches nicht ersetzen. Wer sich allein auf virtuelles Patching verlässt, bleibt verwundbar.
Was jetzt zu tun ist:
- umgehend patchen
- Logs auf Zugriffe auf /PSEMHUB/ sowie URL-codierte Varianten prüfen
PRÄVENTION & DETEKTION
Wird die Schwachstelle ausgenutzt und Schadcode auf dem System ausgeführt, kann eine EDR-Lösung verdächtige Prozesse oder ungewöhnliche Netzwerkverbindungen auf dem Endpunkt erkennen und alarmieren.
Autor: Michael Niers
