Một lỗ hổng trong nền tảng quản trị doanh nghiệp Oracle PeopleSoft từng bị nhóm tin tặc ShinyHunters khai thác để xâm nhập hệ thống của nhiều tổ chức. Phân tích mới cho thấy, đằng sau lỗ hổng này thực chất là chuỗi ba điểm yếu bảo mật liên kết với nhau, cho phép kẻ tấn công từ bên ngoài chiếm quyền điều khiển máy chủ mà không cần đăng nhập.
Các chuyên gia thuộc Sáng kiến Zero Day (Zero Day Initiative - ZDI) đã làm rõ bản chất của lỗ hổng CVE-2026-35273 trong Oracle PeopleSoft. Thay vì một lỗi đơn lẻ, vấn đề này thực chất bao gồm ba lỗ hổng riêng biệt nằm trong hai thành phần của phần mềm, có thể kết hợp để thực hiện một cuộc tấn công hoàn chỉnh.
Lỗ hổng được chấm điểm nghiêm trọng 9,8/10 theo thang CVSS, ảnh hưởng đến PeopleSoft Enterprise PeopleTools phiên bản 8.61 và 8.62. Oracle đã phát hành bản vá khẩn cấp vào ngày 10/6/2026, sau khi ghi nhận hoạt động khai thác trước đó.
Các chuyên gia thuộc Sáng kiến Zero Day (Zero Day Initiative - ZDI) đã làm rõ bản chất của lỗ hổng CVE-2026-35273 trong Oracle PeopleSoft. Thay vì một lỗi đơn lẻ, vấn đề này thực chất bao gồm ba lỗ hổng riêng biệt nằm trong hai thành phần của phần mềm, có thể kết hợp để thực hiện một cuộc tấn công hoàn chỉnh.
Lỗ hổng được chấm điểm nghiêm trọng 9,8/10 theo thang CVSS, ảnh hưởng đến PeopleSoft Enterprise PeopleTools phiên bản 8.61 và 8.62. Oracle đã phát hành bản vá khẩn cấp vào ngày 10/6/2026, sau khi ghi nhận hoạt động khai thác trước đó.
Từ một yêu cầu giả mạo đến quyền điều khiển máy chủ
Để hiểu cách thức tấn công, cần biết Oracle PeopleSoft có hai thành phần liên quan trong sự cố này.
Thứ nhất là Integration Gateway (PSIGW), thành phần chịu trách nhiệm trao đổi dữ liệu giữa hệ thống PeopleSoft với các hệ thống bên ngoài.
Thứ hai là Environment Management Hub (PSEMHUB), giao diện quản trị nội bộ vốn được thiết kế để chỉ tiếp nhận yêu cầu từ những máy chủ đáng tin cậy.
Theo phân tích của ZDI, chuỗi tấn công bắt đầu bằng lỗi Server-Side Request Forgery (SSRF). Đây là dạng lỗ hổng cho phép kẻ tấn công khiến máy chủ gửi yêu cầu đến một địa chỉ do chúng kiểm soát, kể cả những địa chỉ nội bộ vốn không thể truy cập trực tiếp từ Internet.
Điểm yếu nằm ở việc thành phần PSIGW không kiểm tra đầy đủ địa chỉ đích của yêu cầu. Tin tặc có thể lợi dụng nó để gửi yêu cầu đến PSEMHUB thông qua địa chỉ nội bộ của chính máy chủ.
Đáng chú ý, PSEMHUB mặc định tin cậy địa chỉ loopback 127.0.0.1, vốn được sử dụng để máy tính tự giao tiếp với chính nó. Do đó, yêu cầu được chuyển tiếp qua PSIGW có thể vượt qua cơ chế kiểm tra nguồn truy cập và được hệ thống xem như yêu cầu đến từ một máy chủ nội bộ đáng tin cậy.
Thứ nhất là Integration Gateway (PSIGW), thành phần chịu trách nhiệm trao đổi dữ liệu giữa hệ thống PeopleSoft với các hệ thống bên ngoài.
Thứ hai là Environment Management Hub (PSEMHUB), giao diện quản trị nội bộ vốn được thiết kế để chỉ tiếp nhận yêu cầu từ những máy chủ đáng tin cậy.
Theo phân tích của ZDI, chuỗi tấn công bắt đầu bằng lỗi Server-Side Request Forgery (SSRF). Đây là dạng lỗ hổng cho phép kẻ tấn công khiến máy chủ gửi yêu cầu đến một địa chỉ do chúng kiểm soát, kể cả những địa chỉ nội bộ vốn không thể truy cập trực tiếp từ Internet.
Điểm yếu nằm ở việc thành phần PSIGW không kiểm tra đầy đủ địa chỉ đích của yêu cầu. Tin tặc có thể lợi dụng nó để gửi yêu cầu đến PSEMHUB thông qua địa chỉ nội bộ của chính máy chủ.
Đáng chú ý, PSEMHUB mặc định tin cậy địa chỉ loopback 127.0.0.1, vốn được sử dụng để máy tính tự giao tiếp với chính nó. Do đó, yêu cầu được chuyển tiếp qua PSIGW có thể vượt qua cơ chế kiểm tra nguồn truy cập và được hệ thống xem như yêu cầu đến từ một máy chủ nội bộ đáng tin cậy.
Sau khi tiếp cận được giao diện quản trị, tin tặc có thể tiếp tục khai thác các điểm yếu khác để thực thi mã trái phép. ZDI mô tả hai phương thức đáng chú ý: lợi dụng chức năng ghi nhật ký để tạo tệp mã độc vào thư mục ứng dụng, từ đó thực thi lệnh trên máy chủ; hoặc tạo một tệp XML độc hại để kích hoạt việc thực thi mã khi dịch vụ khởi động lại.
Kết quả là kẻ tấn công có thể thực thi mã từ xa với quyền của tài khoản dịch vụ PeopleSoft, qua đó chiếm quyền kiểm soát máy chủ bị ảnh hưởng mà không cần tài khoản đăng nhập hợp lệ.
Tường lửa vẫn có thể bị vượt qua nếu chỉ dựa vào quy tắc chặn đơn giản
Vụ việc còn cho thấy một vấn đề đáng lưu ý trong cách phòng thủ của doanh nghiệp.
Sau khi Oracle phát hành bản vá, một số tổ chức đã áp dụng biện pháp tạm thời bằng cách sử dụng tường lửa ứng dụng web (WAF) để chặn các yêu cầu truy cập đến đường dẫn PSEMHUB.
Tuy nhiên, trong làn sóng tấn công tiếp theo vào tháng 9/2026, Mandiant phát hiện nhóm ShinyHunters đã tìm cách vượt qua quy tắc chặn này bằng kỹ thuật mã hóa URL.
Cụ thể, thay vì gửi yêu cầu đến đường dẫn <span>/PSEMHUB/</span>, tin tặc thay đổi một ký tự thành dạng mã hóa <span>%50</span>, tạo thành đường dẫn <span>/%50SEMHUB/</span>.
Một số quy tắc WAF chỉ kiểm tra chuỗi ký tự ban đầu mà không giải mã đầy đủ đường dẫn trước khi so sánh. Trong khi đó, máy chủ PeopleSoft vẫn giải mã yêu cầu và chuyển nó đến đúng thành phần PSEMHUB.
Nhờ vậy, tin tặc có thể tiếp cận điểm yếu trên những hệ thống mà quản trị viên tưởng rằng đã được bảo vệ bằng quy tắc chặn của WAF.
Điều này cho thấy biện pháp chặn truy cập ở lớp mạng hoặc ứng dụng không thể thay thế hoàn toàn việc cập nhật bản vá bảo mật.
Sau khi Oracle phát hành bản vá, một số tổ chức đã áp dụng biện pháp tạm thời bằng cách sử dụng tường lửa ứng dụng web (WAF) để chặn các yêu cầu truy cập đến đường dẫn PSEMHUB.
Tuy nhiên, trong làn sóng tấn công tiếp theo vào tháng 9/2026, Mandiant phát hiện nhóm ShinyHunters đã tìm cách vượt qua quy tắc chặn này bằng kỹ thuật mã hóa URL.
Cụ thể, thay vì gửi yêu cầu đến đường dẫn <span>/PSEMHUB/</span>, tin tặc thay đổi một ký tự thành dạng mã hóa <span>%50</span>, tạo thành đường dẫn <span>/%50SEMHUB/</span>.
Một số quy tắc WAF chỉ kiểm tra chuỗi ký tự ban đầu mà không giải mã đầy đủ đường dẫn trước khi so sánh. Trong khi đó, máy chủ PeopleSoft vẫn giải mã yêu cầu và chuyển nó đến đúng thành phần PSEMHUB.
Nhờ vậy, tin tặc có thể tiếp cận điểm yếu trên những hệ thống mà quản trị viên tưởng rằng đã được bảo vệ bằng quy tắc chặn của WAF.
Điều này cho thấy biện pháp chặn truy cập ở lớp mạng hoặc ứng dụng không thể thay thế hoàn toàn việc cập nhật bản vá bảo mật.
ShinyHunters đã khai thác lỗ hổng từ trước khi có bản vá
Theo Mandiant và Google Threat Intelligence Group, nhóm ShinyHunters, được theo dõi với mã định danh UNC6240, đã khai thác CVE-2026-35273 trong khoảng thời gian từ ngày 27/5 đến 9/6/2026, chủ yếu nhắm vào các trường đại học.
Do hoạt động khai thác diễn ra trước khi Oracle công bố bản vá ngày 10/6, đây được xem là một cuộc tấn công khai thác lỗ hổng zero-day.
Đến tháng 9, nhóm tiếp tục mở rộng chiến dịch, nhắm vào các tổ chức thuộc nhiều lĩnh vực như giáo dục, công nghệ, dịch vụ công nghệ thông tin, y tế, nông nghiệp, giao thông và cơ quan chính phủ. Mandiant ghi nhận mã độc web shell được triển khai trên hàng chục hệ thống trên toàn cầu.
Web shell là một đoạn mã độc được cài trên máy chủ web, cho phép tin tặc thực hiện các lệnh từ xa và duy trì khả năng kiểm soát hệ thống sau khi xâm nhập.
ShinyHunters được biết đến với phương thức đánh cắp dữ liệu rồi đe dọa công khai thông tin nếu nạn nhân không trả tiền chuộc. Vì vậy, một khi chiếm được quyền kiểm soát máy chủ PeopleSoft, nhóm tấn công có thể tìm cách tiếp cận dữ liệu doanh nghiệp, thông tin nhân sự, tiền lương hoặc dữ liệu sinh viên tùy theo quyền truy cập của hệ thống.
Chiến dịch này cũng liên quan đến vụ xâm nhập cổng tuyển dụng FBIJobs.gov của Cục Điều tra Liên bang Mỹ (FBI). Sau sự cố làm lộ thông tin cá nhân của hàng nghìn nhân viên và ứng viên FBI, cơ quan này đã loại một nhà thầu của Accenture khỏi dự án liên quan. Theo thông tin từ FBI được Reuters dẫn lại, sự cố bắt nguồn từ việc một nhà thầu không triển khai bản vá bảo mật đã được phát hành để bảo vệ nền tảng.
Do hoạt động khai thác diễn ra trước khi Oracle công bố bản vá ngày 10/6, đây được xem là một cuộc tấn công khai thác lỗ hổng zero-day.
Đến tháng 9, nhóm tiếp tục mở rộng chiến dịch, nhắm vào các tổ chức thuộc nhiều lĩnh vực như giáo dục, công nghệ, dịch vụ công nghệ thông tin, y tế, nông nghiệp, giao thông và cơ quan chính phủ. Mandiant ghi nhận mã độc web shell được triển khai trên hàng chục hệ thống trên toàn cầu.
Web shell là một đoạn mã độc được cài trên máy chủ web, cho phép tin tặc thực hiện các lệnh từ xa và duy trì khả năng kiểm soát hệ thống sau khi xâm nhập.
ShinyHunters được biết đến với phương thức đánh cắp dữ liệu rồi đe dọa công khai thông tin nếu nạn nhân không trả tiền chuộc. Vì vậy, một khi chiếm được quyền kiểm soát máy chủ PeopleSoft, nhóm tấn công có thể tìm cách tiếp cận dữ liệu doanh nghiệp, thông tin nhân sự, tiền lương hoặc dữ liệu sinh viên tùy theo quyền truy cập của hệ thống.
Chiến dịch này cũng liên quan đến vụ xâm nhập cổng tuyển dụng FBIJobs.gov của Cục Điều tra Liên bang Mỹ (FBI). Sau sự cố làm lộ thông tin cá nhân của hàng nghìn nhân viên và ứng viên FBI, cơ quan này đã loại một nhà thầu của Accenture khỏi dự án liên quan. Theo thông tin từ FBI được Reuters dẫn lại, sự cố bắt nguồn từ việc một nhà thầu không triển khai bản vá bảo mật đã được phát hành để bảo vệ nền tảng.
Doanh nghiệp cần làm gì để tránh trở thành nạn nhân?
Oracle đã phát hành bản vá cho CVE-2026-35273 từ tháng 6/2026. Các tổ chức sử dụng PeopleSoft cần kiểm tra phiên bản đang vận hành và khẩn trương triển khai bản cập nhật bảo mật tương ứng.
Trong trường hợp chưa thể cập nhật ngay, doanh nghiệp cần thực hiện các biện pháp giảm thiểu theo hướng dẫn của Oracle, bao gồm vô hiệu hóa dịch vụ Environment Management Hub trong môi trường nhiều máy chủ hoặc gỡ bỏ ứng dụng PSEMHUB trong môi trường một máy chủ.
Bên cạnh đó, cần rà soát nhật ký truy cập, tìm kiếm dấu hiệu xuất hiện web shell, kiểm tra các hoạt động truy vấn bất thường đối với dữ liệu nhân sự, tiền lương và thông tin sinh viên. Nếu nghi ngờ hệ thống đã bị xâm nhập, cần tiến hành điều tra, bảo toàn bằng chứng và thay đổi các thông tin xác thực có khả năng bị lộ.
Đặc biệt, doanh nghiệp không nên mặc định hệ thống đã an toàn chỉ vì đã cài bản vá. Việc cập nhật có thể ngăn chặn con đường khai thác lỗ hổng nhưng không tự động loại bỏ mã độc hoặc quyền truy cập mà tin tặc đã thiết lập từ trước.
Vụ việc Oracle PeopleSoft là lời cảnh báo về nguy cơ từ những điểm yếu bảo mật có thể kết hợp với nhau thành một chuỗi tấn công nguy hiểm. Một bản vá chưa được triển khai kịp thời, hoặc một biện pháp phòng vệ chỉ xử lý phần ngọn, đều có thể tạo cơ hội để tin tặc xâm nhập và đánh cắp dữ liệu của cả tổ chức.
Trong trường hợp chưa thể cập nhật ngay, doanh nghiệp cần thực hiện các biện pháp giảm thiểu theo hướng dẫn của Oracle, bao gồm vô hiệu hóa dịch vụ Environment Management Hub trong môi trường nhiều máy chủ hoặc gỡ bỏ ứng dụng PSEMHUB trong môi trường một máy chủ.
Bên cạnh đó, cần rà soát nhật ký truy cập, tìm kiếm dấu hiệu xuất hiện web shell, kiểm tra các hoạt động truy vấn bất thường đối với dữ liệu nhân sự, tiền lương và thông tin sinh viên. Nếu nghi ngờ hệ thống đã bị xâm nhập, cần tiến hành điều tra, bảo toàn bằng chứng và thay đổi các thông tin xác thực có khả năng bị lộ.
Đặc biệt, doanh nghiệp không nên mặc định hệ thống đã an toàn chỉ vì đã cài bản vá. Việc cập nhật có thể ngăn chặn con đường khai thác lỗ hổng nhưng không tự động loại bỏ mã độc hoặc quyền truy cập mà tin tặc đã thiết lập từ trước.
Vụ việc Oracle PeopleSoft là lời cảnh báo về nguy cơ từ những điểm yếu bảo mật có thể kết hợp với nhau thành một chuỗi tấn công nguy hiểm. Một bản vá chưa được triển khai kịp thời, hoặc một biện pháp phòng vệ chỉ xử lý phần ngọn, đều có thể tạo cơ hội để tin tặc xâm nhập và đánh cắp dữ liệu của cả tổ chức.
