ShinyHunters 利用漏洞橫掃 Oracle PeopleSoft，過百機構中招

Oracle 表示，呢個漏洞係由 TrendAI Zero Day Initiative 同 TrendAI Research 嘅研究員發現並報告嘅 。由於攻擊方式係通過網絡、步驟簡單、唔使驗證、又唔使用戶互動，呢個漏洞一俾黑客知道，就即刻成為咗大規模攻擊嘅首選目標。

攻擊點樣發生？搶先修補前嘅時間線

Google 旗下嘅網絡安全公司 Mandiant 將今次攻擊歸因於佢哋追蹤代號為 UNC6240 嘅組織，即係公眾熟知嘅 ShinyHunters。Mandiant 確定佢哋嘅活躍攻擊期係由 2026 年 5 月 27 日 到 6 月 9 日 。

最關鍵嘅一點係，Oracle 要到 6 月 10 日 先發出安全通報同推出修補程式。換句話說，喺成個攻擊活躍期，呢個漏洞都係一個未被修復嘅「零時差漏洞」 。黑客就係趁呢個空窗期，大量掃描互聯網上暴露咗嘅 PeopleSoft 伺服器，利用 CVE-2026-35273 作為踏腳石，潛入未打補丁嘅系統。

一旦成功進入，黑客並唔會即刻收手。網絡安全公司 Field Effect 嘅研究員發現，攻擊者會「將 CVE-2026-35273 同其他憑證盜用技術，甚至可能嘅其他漏洞結合起嚟用」，務求最大化破壞範圍，同埋精準搵到最有價值嘅資料庫 。呢種多階段攻擊手法，令 ShinyHunters 偷到嘅資料遠比單純「撞門搶劫」式攻擊多得多。

偷完資料之後，ShinyHunters 就依照佢哋嘅慣用劇本行事：向受害者勒索贖金，威脅如果唔畀錢就會將偷到嘅資料公開 。呢種以勒索為主、而唔係裝勒索病毒嘅策略，正係 ShinyHunters 嘅標誌性手法。

被盜嘅係咩資料？

被盜嘅數據視乎受害者機構而異，但有幾類高價值資料喺呢次事件中不斷出現：

• 學生、教職員嘅個人身份資料（PII），例如姓名、地址、身份證號碼等 。
• 學術紀錄、註冊資料同獎學金/學費資助資訊，反映咗教育界係呢次攻擊嘅重災區 。
• 人力資源（HR）同薪酬數據，包括福利同薪酬詳情，呢啲都係 PeopleSoft 系統處理嘅核心資料 。
• 內部系統設定檔案同登入憑證，黑客就係用呢啲資料喺被入侵嘅系統入面橫向移動，擴大戰果 。

被盜資料範圍咁廣，背後原因係 PeopleSoft 作為一套中央 ERP 系統，通常會將人力資源、財務甚至校園管理嘅敏感紀錄全部集中喺一個平台 。一旦被攻破，隨時可以洩漏橫跨多年嘅個人同機構資料。

Oracle 嘅緊急應對

2026 年 6 月 10 日，Oracle 罕有地打破佢每季一次嘅定期安全更新慣例，為 CVE-2026-35273 發布咗一個「非定期安全通報」 。同一日，公司為 PeopleTools 8.61 同 8.62 版本推出咗修補程式，咁做係前所未有咁緊急，突顯咗漏洞正被大規模積極利用嘅嚴重性 。

Oracle 嘅通報入面講得好坦白：「呢個漏洞可以喺無需驗證嘅情況下遙距利用。一旦成功利用，可能導致遙距執行程式碼。」 公司強烈呼籲所有客戶立即套用修補程式，形容呢個係「高優先級嘅降低風險措施」。

CISA 發出最高警報

Oracle 發出通報後兩日，即係 2026 年 6 月 12 日，美國網絡安全及基礎設施安全局 (CISA) 將 CVE-2026-35273 加入咗佢嘅「已知被利用漏洞 (KEV) 目錄」。呢個舉動意味住，所有美國聯邦政府機構都被強制要求喺限期前修補漏洞，同時亦係向全球公私營機構發出最強烈嘅信號：呢個漏洞正被大規模積極攻擊，情況極度危險。

加拿大網絡安全中心亦喺 6 月 11 日發布咗 AV26-587 號通報，警告有積極利用嘅情況，並指示管理員立即查閱 Oracle 嘅指引 。政府部門今次咁協調一致嘅反應，正好反映咗事件嘅嚴重程度同規模。

即刻要做嘅防禦措施

根據 Oracle、CISA、Rapid7 同其他安全廠商嘅指引，所有行緊 PeopleSoft 嘅機構，應該毫不猶豫咁執行以下步驟：

1. 立即安裝 Oracle 嘅非定期修補程式，適用於 PeopleTools 8.61 同 8.62 版本 。
2. 檢查係咪用緊唔再支援嘅舊版本。 如果係，就要先計劃緊急升級到一個支援嘅版本，然後先可以裝修補程式。
3. 進行鑑證調查，徹查 PeopleSoft 應用程式同資料庫伺服器有冇被植入 Web Shell（黑客留低用嚟遙控伺服器嘅後門程式）、未經授權嘅指令碼或憑證竊取工具嘅痕跡 。
4. 立即更改所有憑證，包括所有儲存喺 PeopleSoft 環境入面，或者可以由嗰度存取到嘅密碼、服務帳戶同資料庫連接字串 。
5. 限制網絡存取，盡可能唔好將 PeopleSoft 嘅 HTTP/HTTPS 介面（即係網頁服務用嘅 80 同 443 端口）直接暴露喺互聯網；如果唔得，至少要將佢放喺 VPN（虛擬私人網絡）後面 。
6. 監控由 PeopleSoft 伺服器發出嘅異常對外數據傳輸——如果發現有大規模數據傳去陌生嘅外部 IP 地址，呢個係資料正被竊取嘅強烈訊號 。

入侵指標 (IoCs)

隨住調查繼續，已發布嘅入侵指標仍然喺度更新緊。不過，從早期嘅報告入面，已經可以歸納出以下幾類可疑跡象：

• 針對 PeopleTools 入面「Updates Environment Management」組件嘅未經授權 HTTP 請求 。
• 喺 PeopleSoft 應用程式伺服器上出現 Web Shell 或者來歷不明嘅指令碼檔案 。
• 嚟自陌生 IP 地址或好少用嘅服務帳戶嘅異常登入活動 。
• 由 PeopleSoft 資料庫伺服器傳去外部嘅大型數據傳輸 。
• 喺被入侵嘅伺服器上，出現新增嘅服務帳戶或排程任務 。

Pathlock 嘅報告仲披露咗一批由攻擊者控制嘅具體 IP 地址，例如 142.11.200.186–190、108.174.202.99 同 176.120.22.24，以及一個勒索信檔案名 README-IF-...，機構應該喺自己嘅 PeopleSoft 紀錄入面搜尋呢啲入侵指標 。

ShinyHunters 點解專攻教育界？一個重複嘅模式

今次 Oracle PeopleSoft 攻擊事件，對 ShinyHunters 嚟講並唔係單一嘅例外。呢個組織有住針對教育機構嘅悠久歷史，背後有幾個戰略原因：

• 豐富且集中嘅數據寶庫。 大學同大專院校通常運行規模龐大嘅 PeopleSoft 系統，入面整合咗橫跨幾十年、涉及數以十萬計人嘅個人、學術同財務紀錄 。
• 更新補丁速度緩慢。 高等教育機構成日運行緊大量客製化嘅 PeopleSoft 環境，更新週期唔一致而且成日延遲，令佢哋成為任何新漏洞一出現就最容易落手嘅目標 。
• 勒索模式，唔係勒索病毒。 ShinyHunters 嘅焦點係盜竊數據然後勒索，而唔係部署勒索病毒鎖機。只要偷到嘅資料夠敏感，就可以勒索到贖金，呢種模式回報率好高 。
• 大規模撒網式掃描。 攻擊者會響成個行業板塊內廣泛掃描，而唔係挑選單一嘅高價值目標。呢種手法，一旦出現好似 CVE-2026-35273 呢類高危漏洞，就可以最大化佢哋嘅「戰果」 。

2026 年 6 月嘅呢一波攻擊，只係 ShinyHunters 繼之前攻擊大學同教育科技平台、偷走數百萬份紀錄並放上暗網販售之後嘅另一「戰績」。一個 PeopleTools 嘅零時差 RCE 漏洞，配上一個安全漏洞長期存在嘅受害行業，結果就係一個毀滅性嘅組合。

對於仲喺度評估緊自己風險嘅機構嚟講，最優先嘅事就係打補丁。除此之外，呢次事件亦係一個警醒：大型 ERP 平台，需要同任何面向互聯網嘅關鍵服務一樣，擁有同等級別嘅分層防禦、持續監控同快速應變能力。