Oracle 安全漏洞频发：E-Business Suite 与 PeopleSoft 双双告急
尽管 Oracle 在本月早些时候发布了补丁，但针对其关键产品的攻击活动仍在持续。目前，威胁行为者正积极利用一个存在于 Oracle E-Business Suite (EBS) 中的严重漏洞，该漏洞可能导致远程代码执行 (RCE)。与此同时，新的分析揭示，Oracle PeopleSoft 的零日漏洞早在今年 5 月就被黑客组织 ShinyHunters 利用，涉及三个可组合实现 RCE 的不同缺陷。
E-Business Suite 遭遇未授权 SQL 注入攻击
焦点首先集中在 CVE-2026-101767 上，这是 Oracle EBS 中一个关键的未经认证的 SQL 注入漏洞。Horizon3 的研究人员发现并向 Oracle 披露了该问题，厂商已在 10 月的版本更新中进行了修复。
根据 Horizon3 的描述，攻击者可以向易受攻击的服务器发送精心构造的请求，从而利用 APPS 数据库用户的特权执行 SQL 语句。这一攻击链还能借助 EBS 应用账户的权限执行操作系统命令。这意味着未经授权的用户可以修改 APPS 可访问的应用数据并执行命令。根据具体部署环境，受影响的数据可能涵盖财务、工资、人力资源和采购记录等敏感信息。
截至发稿时，The Register 向 Oracle 询问了是否已记录到 CVE-2026-101767 的成功利用案例，但未立即收到回复。
PeopleSoft 零日漏洞被 ShinyHunters 大规模利用
在 PeopleSoft 方面，TrendAI 的零日倡议 (ZDI) 于 6 月 10 日发现并报告了相关问题，Oracle 随后以单一标识符 CVE-2026-35273 发布了补丁。然而，ShinyHunters 组织曾向 The Reg 透露，他们通过利用这个 PeopleSoft 零日漏洞入侵了超过 100 个组织。
Google 旗下的咨询与事件响应业务 Mandiant 证实，数据盗窃和勒索团队利用 CVE-2026-35273 作为零日漏洞，主要目标是学校和教育部门。到了 9 月底，Mandiant 指出 ShinyHunters 已将目标范围大幅扩大，在全球数十个系统中部署了 Web shell，受害行业包括高等教育、科技、IT 服务、医疗保健、农业、运输和政府领域。
三漏洞组合突破防御体系
ZDI 漏洞研究员 Bobby Gould 指出，PeopleSoft 组件中实际上存在三个不同的漏洞，每个都应拥有独立的 CVE 标识符，而非统一归类为 CVE-2026-35273。Gould 与 TrendAI 研究人员 Mingjian 和 Lucas Miller 在 6 月初发现了这些错误并向 Oracle 报告，目前正在协调为每个问题分配单独的 CVE。
这三个漏洞的具体机制如下：
- SSRF 绕过验证：第一个漏洞位于 PeopleSoft 集成网关 (PSIGW) 中，是一个服务器端请求伪造 (SSRF) 缺陷。虽然 Oracle 在 6 月引入了 "validateClient" 方法以限制管理员对某些功能的访问，但 SSRF 漏洞允许攻击者发起符合验证要求的请求，进而访问易受 RCE 攻击的终端。由于 Oracle 默认允许本地主机访问，攻击者可利用 PSIGW SSRF 到达 PeopleSoft 环境管理中心 (PSEMHUB)。
- 文件路径写入导致 Web Shell 植入：第二个漏洞存在于 PSEMHUB 的 ExecuteProcessActivityCommand 处理器中。该消息处理器旨在允许远程客户端向文件系统写入日志条目，但由于缺乏正确的请求验证，攻击者可以将 Web shell 写入特定文件路径，从而实现 RCE。
- 反序列化漏洞触发恶意 XML：第三个漏洞同样位于 PSEMHUB，属于不可信数据导致的反序列化缺陷。攻击者可以利用上述文件写入漏洞，在存储环境配置数据的目录中植入恶意 XML 文件。当 PSEMHUB 初始化（例如在服务或系统重启后），会触发对这些恶意 XML 文件的反序列化，潜在地允许攻击者再次实现 RCE。
值得注意的是，如果攻击者已经成功安装了 Web shell，仅靠修补软件漏洞可能无法彻底清除已被破坏系统中的威胁。
