文章总结： PeopleSoft0Day漏洞致上百机构遭攻击，凸显云供应链安全风险。文章提出零信任架构、身份安全、隔离备份、定期测试恢复等建议，强调安全与业务连续性需融合，以防范云与SaaS供应链攻击。 综合评分： 75 文章分类： 漏洞分析,云安全,供应链安全,安全建设,应急响应

PeopleSoft 0Day攻陷上百机构，云供应链边界被击穿

FreeBuf

2026年9月13日 18:00 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年5月至6月初，Oracle PeopleSoft存在一处严重0Day漏洞，导致欧洲委员会及其他数十家机构面临数据窃取与勒索风险。

据The Register援引报道，ShinyHunters黑客组织在全球范围内利用该漏洞攻击了约100家机构的300个实例。

攻击者瞄准企业资源计划（ERP）系统的管理与配置层，窃取敏感记录。被窃取的数据包括员工及学生个人信息、薪资、税务与财务数据、健康记录、移民及护照文件。

AgentCypher.ai估计，攻击者向每名受害者索要的赎金金额在40万美元至230万美元之间，通常要求以比特币支付，目前总勒索金额尚未披露。欧洲委员会拒绝谈判，也未支付赎金。

Part01

传统边界模型难以为继

这起事件充分说明，传统安全边界已经不再可靠。

如今用户、应用、数据分散在云平台、SaaS服务、远程设备与第三方环境中，安全防护再也不能以资产是否位于企业网络内部作为判断标准。身份校验、设备信任、最小权限访问与持续验证的重要性显著提升。

企业需要建立“失陷假设”的核心思路，围绕防护、检测、遏制与恢复四个维度构建安全体系。

Quantum Evolve首席执行官Mark Child表示，传统边界安全的思路是企业可以通过防火墙、VPN、网络分段守护清晰的网络边界。但现在应用、工作负载、用户分散在各类云服务、API、移动环境与第三方生态中，这种模式越来越难以维系。

AI进一步加速了这一转变：攻击者可以利用AI自动化侦察流程，制作逼真的社会工程攻击素材，大规模识别安全弱点。量子计算则会对当前可信加密体系构成长期风险，企业现在就需要着手构建加密韧性。

因此落地零信任架构十分关键。零信任认为网络边界始终存在被突破的可能，重点强化身份校验、持续验证、最小权限、数据保护与恢复能力。其目标不仅是防范失陷，更是要在管控措施失效时及时检测、遏制攻击，保障业务持续运行。

Part02

云与SaaS供应链依赖加深

每接入一项云或SaaS服务，企业就新增一层依赖，而供应商自身往往也有其他上游供应商。哪怕企业内部管控十分严密，也可能因供应链上游数层的服务商失陷而遭受攻击。供应链风险属于继承性风险，企业不仅要摸清直接供应商的情况，还要掌握这些供应商使用的关键服务。

Mark Child指出，云与SaaS平台提升了业务敏捷性，降低了基础设施管理负担，但同时也带来了集中度风险。企业越来越依赖少数云服务商、身份服务商与托管服务商，这些厂商拥有敏感数据与核心业务流程的特权访问权限。

AI模型、API、agents、数据处理服务进一步增加了依赖层级，也带来了一系列问题：数据在哪里处理？哪些模型可以访问数据？一旦服务商被攻破会产生什么后果？如果补丁安装不及时，这些弱点就可能演变为大规模利用事件。

Part03

补丁安装滞后放大风险

现在从漏洞披露到被主动利用的窗口已经极短。借助自动化扫描工具，攻击者不需要专门瞄准某一家企业，只要存在漏洞、暴露在互联网上的系统，很快就会被发现。

补丁发布并不等于风险消除，只有完成补丁部署或采取其他缓解措施，才能真正封堵漏洞。企业应当优先修复互联网暴露系统、身份基础设施中的漏洞，以及已被发现在野利用的漏洞。

Mark Child警告，公开披露的漏洞会通过自动化扫描、漏洞利用框架、AI辅助工具快速形成产业化利用能力。如果企业不能有效梳理资产、确定修复优先级、基于风险开展补丁工作，理论上的弱点可能在数天甚至数小时内就被用于实际攻击。

Part04

云服务失陷影响全局业务

云环境失陷可能演变为全公司级别的安全事件，同时影响业务可用性、数据完整性、数据访问权限、身份服务与关键流程。

如果关键服务出现故障，企业可能同时丢失认证能力、通信渠道、客户系统与开发环境的访问权限。

如果身份、配置或数据已经不可信，仅仅恢复服务可用性是远远不够的。恢复的最终目标是重建可信的业务运行环境，覆盖AI模型、agents、API、数据管道，以及这些组件运行所依赖的身份体系。

Part05

采用加密异地备份机制

对备份进行加密并跨地理区域分布式部署，仍是最有效的韧性控制措施之一。

企业应尽可能将备份与生产环境隔离，确保单云故障、网络攻击或物理事件不会同时摧毁生产环境与恢复环境。

最核心的系统应当采用不可变备份或离线副本进行保护。绝不能让攻击者在攻破生产环境后，顺带着获得删除恢复备份的权限。

Part06

RTO制定需以业务为核心

恢复时间目标（RTO）的制定必须从业务需求出发。

核心要明确的问题是：服务中断多久后，产生的影响将无法接受。之后IT与安全团队再设计对应的系统与恢复流程，满足这一要求。

并非所有服务都需要达到5分钟内恢复的水平。修复优先级应当匹配业务重要性、合规要求与运营影响；RTO是由业务决策、技术团队支撑实现的目标，而非技术部门强加给业务的指标。

Part07

定期测试恢复流程

企业必须定期测试备份与恢复计划。

复制流程可能中断、凭证可能过期、依赖关系可能变化、文档可能过时。

测试的目的是验证系统确实可以恢复，且恢复后业务能够正常运行。

拥有备份并不等于具备恢复能力。

Part08

身份成为新安全边界

身份是新的安全边界。如果攻击者获取了特权账号、会话令牌或API凭证，根本不需要攻破网络边界就能入侵系统。

因此多因素认证、特权访问管理、最小权限配置与强力监控是必不可少的措施。

韧性建设还需要覆盖身份故障场景：如果身份服务商不可用或被攻破，管理员要如何重新夺回控制权？每一份严谨的灾难恢复计划都必须包含这一问题的应对方案。

Part09

警惕第三方集中度风险

企业必须重视集中度风险。

多个看似独立的供应商，可能底层依赖同一家超大规模云服务商、身份服务商、电信运营商或平台。

因此梳理依赖映射至关重要。

针对关键服务，企业应当准备独立备份、备用通信渠道、次级供应商与成文的手动操作流程，重点关注那些一旦同时发生故障就会造成最严重损失的依赖项。

Part10

落地实践核心经验，

最核心的经验是，网络安全与业务连续性工作再也不能割裂开展。

安全团队必须承认，预防性管控措施存在失效的可能；业务连续性团队也必须认识到，网络攻击后的恢复与普通服务中断不同——此时系统、凭证、数据都可能已经不可信。

当前的优先级十分明确：梳理关键依赖关系、做好身份防护、快速修复高风险漏洞、维护隔离备份、定期测试恢复流程。

韧性建设还必须覆盖供应商全生命周期，从采购、签订合同到日常监控、退出预案，都要纳入管理范围。

安全建设的目标不是彻底杜绝故障，而是确保故障不会演变为重大灾难。

参考来源：

Beyond the Perimeter: Building Resilience Against Cloud and SaaS Supply-Chain Attacks

Beyond the Perimeter: Building Resilience Against Cloud and SaaS Supply-Chain Attacks

#

推荐阅读

#

电报讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《PeopleSoft 0Day攻陷上百机构，云供应链边界被击穿》