Исследователи 27 октября зафиксировали попытки проверить критическую уязвимость Oracle E-Business Suite, для которой Oracle выпустила исправление только в октябре. Одновременно выяснилось, что громкая цепочка уязвимости Oracle PeopleSoft, которую связывают с группировкой ShinyHunters, состоит не из одной, а из трёх отдельных ошибок. Для компаний, где Oracle ERP и PeopleSoft всё ещё держат финансы, кадровые данные и закупки, это повод не ограничиваться установкой патча: компрометацию нужно искать отдельно.
О новых деталях сообщает The Register. Речь идёт о CVE-2026-101767 — критической неаутентифицированной SQL-инъекции в Thin Client Framework Oracle E-Business Suite. По данным Defused Cyber, их приманки для атакующих зафиксировали исследовательские запросы к этой уязвимости утром 27 октября. Это ещё не подтверждение успешных взломов, но уже вполне понятный сигнал: после публикации патча и технических деталей сканеры и злоумышленники начали искать доступные экземпляры EBS.
Уязвимость обнаружили специалисты Horizon3 и передали Oracle до октябрьского выпуска обновлений. Подготовленный запрос позволяет выполнять SQL с правами пользователя базы данных APPS, а затем в составе цепочки — запускать команды операционной системы от имени учётной записи приложения EBS. Последствия зависят от конкретной инсталляции, но под угрозой могут оказаться данные о зарплатах, сотрудниках, платежах, закупках и другой информации, к которой имеет доступ ERP. Oracle на вопросы журналистов о подтверждённых случаях эксплуатации CVE-2026-101767 оперативно не ответила.
Один CVE, три пути к удалённому коду
Вторая история касается PeopleSoft и ShinyHunters. В начале июня сама группировка заявила, что через zero-day получила доступ более чем к 100 организациям. Позже Mandiant подтвердил использование CVE-2026-35273 как уязвимости нулевого дня при кражах данных и вымогательстве; среди основных целей тогда были учебные заведения. К концу сентября, по оценке Mandiant, кампания расширилась: веб-шеллы появились на десятках систем по всему миру в секторах образования, технологий, IT-услуг, здравоохранения, сельского хозяйства, транспорта и госсектора.
Oracle выпустила исправление в июне и объединила проблему под CVE-2026-35273. Но исследователь Zero Day Initiative Бобби Гулд сообщил, что изначально его команда — вместе с Минь Гиангом и Лукасом Миллером из TrendAI — передала Oracle три самостоятельные ошибки в разных компонентах PeopleSoft. Сейчас ZDI координирует с вендором выдачу отдельного CVE для каждой из них. Для команд защиты это важнее, чем может показаться: единый номер в бюллетене создаёт иллюзию одной причины и одного простого исправления, хотя реальная цепочка использует несколько механизмов.
Первый элемент — SSRF в PeopleSoft Integration Gateway. Oracle добавила метод validateClient, чтобы администраторы могли ограничивать доступ к части функций. Однако SSRF позволяет сформировать запрос, который проходит эту проверку и обращается к конечным точкам, пригодным для дальнейшего выполнения кода. Особенность конфигурации в том, что PeopleSoft по умолчанию допускает localhost: через SSRF атакующий получает именно тот доверенный контекст, который требуется для доступа к PeopleSoft Environment Management Hub, или PSEMHUB.
Дальше в ход идут две ошибки в PSEMHUB. Обработчик ExecuteProcessActivityCommand должен принимать от удалённых клиентов записи для журналов на сервере PeopleSoft, но недостаточно проверяет путь к файлу. В результате атакующий может записать веб-шелл в выбранное место файловой системы и получить удалённое выполнение кода. Третья проблема — десериализация недоверенных данных. Если с помощью записи файла разместить вредоносный XML в каталоге с конфигурацией окружения, PSEMHUB может обработать его при инициализации — например, после перезапуска службы или всей системы — и запустить код атакующего.
Патч закрывает вход, но не всегда удаляет гостя
Для российских IT-команд практический вывод довольно приземлённый. Владельцам Oracle EBS нужно в первую очередь сверить уровень октябрьских обновлений, проверить, не опубликованы ли наружу уязвимые компоненты, и изучить журналы на признаки подозрительных запросов до и после установки патча. Владельцам PeopleSoft стоит относиться к CVE-2026-35273 как к цепочке: проверить Integration Gateway, PSEMHUB, ограничения доступа и файловые изменения на серверах. Особое внимание — внезапным веб-шеллам, неизвестным XML-файлам в каталогах конфигурации и аномалиям вокруг перезапусков сервисов.
Главный неприятный нюанс в том, что обновление не вычищает уже установленный веб-шелл и не отменяет украденные учётные данные. В истории с PeopleSoft атакующие, по данным Mandiant, разворачивали такие постоянные точки доступа на десятках систем. Поэтому проверка после патча должна включать не только сканирование версии, но и поиск следов закрепления, ревизию учётных записей и оценку того, какие данные могли быть доступны. История Oracle в конце месяца осведомлённости о кибербезопасности напоминает простую вещь: CVE закрывают разработчики, а последствия цепочек уязвимостей приходится разбирать уже операционным командам.
