Mandiant сообщила, что ShinyHunters использовали CVE-2026-35273, уязвимость, обнаруженную TrendAI. TrendAI исследовала три отдельные уязвимости в компонентах PeopleSoft, а не только один CVE, назначенный Oracle изначально. В этом отчете подробно описаны эти уязвимости, начиная с Server-Side Request Forgery (SSRF) в PeopleSoft Integration Gateway (PSIGW). Этот SSRF позволяет злоумышленникам обходить метод validateClient в PeopleSoft, который предназначен для ограничения доступа к конфиденциальным функциям. PeopleSoft Environment Management Hub (PSEMHUB) реализует этот метод validateClient, но SSRF позволяет злоумышленникам нацеливаться на него через интерфейс обратной связи.Первая ошибка использует SSRF в PSIGW, чтобы позволить злоумышленникам создавать запросы к внутренним компонентам PeopleSoft. Контролируя URL и полезную нагрузку, злоумышленники могут эффективно проксировать запросы. Этот SSRF имеет решающее значение, поскольку метод validateClient по умолчанию разрешает доступ с localhost. Вторая уязвимость, External Control of File Path в PSEMHUB, позволяет злоумышленнику записывать произвольный контент в любой файл на сервере. Объединив SSRF с этой уязвимостью записи файлов, злоумышленник может записать веб-шелл в путь WAR PSEMHUB, достигнув удаленного выполнения кода. Третья уязвимость — Deserialization of Untrusted Data в PSEMHUB. Злоумышленники могут поместить вредоносный XML-файл в определенный каталог, который затем десериализуется PSEMHUB при запуске или перезапуске службы, что приводит к выполнению кода. Эти связанные уязвимости позволяют полностью скомпрометировать затронутые экземпляры PeopleSoft.