ShinyHunters ile bağlantılı UNC6240 adlı tehdit aktörü, Oracle PeopleSoft sistemlerindeki kritik CVE-2026-35273 güvenlik açığını WAF kurallarını aşarak yeniden istismar ediyor. Google Threat Intelligence Group ve Mandiant tarafından tespit edilen saldırılarda, savunmasız sunuculara web shell yerleştirildiği ve bazı sistemlerde SIDEEYE adlı arka kapının çalıştırıldığı bildirildi.

Saldırılar, Oracle PeopleSoft Enterprise PeopleTools içindeki CVE-2026-35273 numaralı güvenlik açığını hedef alıyor. Oracle’ın güvenlik bildirimine göre açık, kimlik doğrulaması gerektirmeden uzaktan istismar edilebiliyor ve başarılı saldırılar uzaktan kod çalıştırılmasına (RCE) yol açabiliyor. Açığın CVSS 3.1 puanı 9,8 olarak belirlenmiş durumda.

Oracle, açığı 10 Haziran 2026’da yayımladığı güvenlik uyarısıyla duyurdu. PeopleTools’un 8.61 ve 8.62 sürümleri etkilenen ürünler arasında yer alıyor. Ancak Mandiant’ın gözlemlerine göre saldırganlar, Oracle’ın duyurusundan önce 27 Mayıs ile 9 Haziran 2026 arasında açığı sıfır gün güvenlik açığı olarak kullandı.

Saldırganlar WAF Kurallarını URL Kodlamasıyla Aştı

Açığın hedefindeki bileşen, PeopleSoft’un Environment Management Hub servisi ve özellikle PSEMHUB uç noktası (endpoint). Kurumlar bu yolu WAF kurallarıyla engellemeye başladıktan sonra saldırganlar, istek yolunu URL kodlaması kullanarak farklı bir biçimde yazdı.

Bazı WAF ve ters proxy ürünleri, isteği URL kodlamasını çözmeden önce değerlendirdiği için bu farklı yazım engelleme kuralına takılmadı. WebLogic ve PeopleSoft uygulaması ise isteği çözerek yeniden PSEMHUB servlet’ine yönlendirdi.

Buradaki sorun, WAF’ın tamamen devre dışı kalması değil, güvenlik cihazının isteği hangi aşamada normalleştirdiğiyle ilgili. Mandiant, savunma kurallarının yalnızca açık metin biçimindeki yolu değil, URL kodlanmış ve diğer normalleştirilmemiş varyantları da kapsaması gerektiğini belirtiyor. Buna rağmen WAF kuralı, yamasız uygulamanın yerini tutmuyor.

Web Shell’lerden SIDEEYE Arka Kapısına Uzanan Saldırı Zinciri

Gözlemlenen saldırılarda saldırganlar, kodlanmış uç noktaya istekler göndererek PSEMHUB servlet’indeki güvenlik açığından yararlandı. Bazı sistemlerde bu işlem doğrudan dosyasız komut yürütülmesine, bazı sistemlerde ise JSP tabanlı web shell’lerin dağıtılmasına yol açtı.

Mandiant, ilgili dizinde komut çalıştırmak ve büyük dosyaları parçalar hâlinde sunucuya yüklemek için kullanılan iki web shell tespit etti.

Windows sunucularında, Light Alloy medya oynatıcının kurulum paketi gibi görünen yaklaşık 5,2 megabaytlık bir dosya da yüklendi. Yapılan analizlerde, geçerli bir sertifikayla imzalanmış görünen bu dosyanın bellek içinde SIDEEYE arka kapısını yüklediği ortaya çıktı.

SIDEEYE, tarayıcı ve masaüstü uygulamalarına ait kimlik bilgilerini çalabiliyor. Bunun yanında dosya ve süreç yönetimi, ters kabuk ve ters proxy özellikleri sunuyor. Saldırganların ağ içinde tünel oluşturmak için açık kaynaklı bir tünelleme aracını, kalıcı erişim sağlamak için ise meşru bir uzaktan yönetim yazılımını kullandığı bildirildi.

Saldırılarda Hedefler Genişledi

İlk saldırı dalgasında özellikle yükseköğretim kurumları hedef alındı. Mandiant, IP adresleri savunmasız PeopleSoft uç noktalarıyla eşleşen 100’den fazla kuruma bildirim gönderdi. Bu kurumların yüzde 68’inin üniversite veya yüksekokul olduğu açıklandı.

Yeni saldırı dalgasında ise hedef listesi genişledi. Yükseköğretimin yanı sıra teknoloji şirketleri, BT hizmet sağlayıcıları, sağlık kuruluşları, tarım sektörü, taşımacılık firmaları ve kamu kurumları da saldırılardan etkilendi. Google ve Mandiant, onlarca sistemde web shell bulunduğunu belirtiyor.

Saldırganların faaliyetleri sunucuya erişim sağlamakla sınırlı kalmadı. Gözlemlenen saldırılarda PeopleSoft yapılandırmalarının incelendiği, iç ağdaki makinelerin haritalandırıldığı, ağ içinde yayılım denendiği ve verilerin sıkıştırılarak dışarı çıkarıldığı görüldü. UNC6240, veri hırsızlığı ve sızdırılan bilgileri yayımlamakla tehdit etme faaliyetleriyle ilişkilendiriliyor.

Oracle PeopleSoft Kullanan Kurumlar Ne Yapmalı?

Oracle, etkilenen PeopleTools sürümleri için yayımlanan güvenlik güncellemesinin gecikmeden uygulanmasını öneriyor. Çok sunuculu yapılarda Environment Management Hub servisinin devre dışı bırakılması, tek sunuculu kurulumlarda ise PSEMHUB uygulamasının kaldırılması değerlendirilmeli.

Yama uygulandıktan sonra da olay incelemesinin sürdürülmesi gerekiyor. WebLogic erişim kayıtları, hem düz metin hem de kodlanmış varyantlar açısından incelenmeli. Şüpheli ağ trafiği ve dışarı giden bağlantılar da ayrıca izlenmeli.

Güvenlik ekiplerinin tüm sunuculardaki ilgili dizinleri beklenmeyen dosyalar açısından kontrol etmesi gerekiyor. Yalnızca yeni dosya oluşumunu izlemek yeterli değil; saldırganlar bazı durumlarda dosya bırakmadan komut çalıştırma yöntemini de kullandı. PeopleSoft hizmet hesabının erişebildiği parolalar değiştirilmeli ve veritabanı kayıtlarında olağan dışı toplu sorgular araştırılmalı.

CVE-2026-35273’ün CISA Known Exploited Vulnerabilities (KEV) kataloğuna eklenmesiyle birlikte açık, aktif saldırılar açısından da takip edilen bir tehdit hâline geldi.

Oracle PeopleSoft kullanan kurumlar açısından WAF kuralları ek bir güvenlik katmanı sağlasa da yamasız ve internete açık bir uygulama bileşeninin oluşturduğu riski tek başına ortadan kaldırmıyor.