De criminele groepering ShinyHunters voert weer op grote schaal aanvallen uit tegen Oracle PeopleSoft-servers, waarbij de aanvallers een manier hebben gevonden om Web Application Firewall (WAF) rules te omzeilen, zo waarschuwt Google. PeopleSoft is een enterprise resource planning (ERP) software suite voor allerlei zakelijke toepassingen, zoals HR, financiën, salarisadministratie en supply chain management. Het kan dan ook allerlei persoonlijke en vertrouwelijke informatie bevatten.
In juni werd bekend dat ShinyHunters een zerodaylek in PeopleSoft gebruikte om grote hoeveelheden gevoelige en persoonlijke informatie bij bedrijven te stelen en die daarmee af te persen. Misbruik van het beveiligingslek (CVE-2026-35273) vond volgens Google al zeker sinds 27 mei plaats. Het techbedrijf ontdekte meerdere open directories op de servers die ShinyHunters voor het uitvoeren van de aanvallen gebruikte. Zo kreeg het techbedrijf inzicht in de operatie van de criminele groepering.
Oracle kwam op 10 juni met een noodpatch voor het probleem. Voor het beschermen van onder andere PeopleSoft-servers kunnen organisaties kiezen voor een Web Application Firewall. WAF-leveranciers voerden naar aanleiding van de aanvallen rules door om nieuwe aanvallen te voorkomen. ShinyHunters heeft een manier gevonden om deze WAF rules te omzeilen doormiddel van het URL encoden van een enkel karakter in het request path. In plaats van /PSEMHUB/ te gebruiken maken de aanvallers nu gebruik van /%50SEMHUB/.
Door deze methode zijn kwetsbare PeopleSoft-servers weer toegankelijk voor aanvallen en is er inmiddels sprake van "mass exploitation" van CVE-2026-35273 door ShinyHunters, aldus Google. Organisaties worden opgeroepen om de update voor CVE-2026-35273 te installeren. "WAF rules en path-based blocking zijn geen vervanging voor patches", stelt het techbedrijf. Tevens wordt aangeraden om in tijdelijke of web-toegankelijke directories te zoeken naar grote archiefbestanden en logbestanden te controleren op bulk queries of exports van databases met HR-, salaris- en studentengegevens.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
