Exploit CVE-2026-35273: Oracle PeopleSoft Açığı Nasıl Sömürüldü, Nasıl Tespit Edilir ve Nasıl Kapatılır?

Oracle PeopleSoft kullanan kurumlar için 2026’nın en kritik güvenlik açıklarından biri CVE-2026-35273 oldu. Bu açık, Oracle PeopleSoft Enterprise PeopleTools içinde bulunan Updates Environment Management bileşenini etkiliyor. Kısaca söylemek gerekirse: Eğer kurumun PeopleSoft sistemi internete açıksa ve etkilenen sürümlerden birini kullanıyorsa, saldırgan kullanıcı adı ve şifre bilmeden sisteme erişim sağlayabilecek bir saldırı zinciri kurabiliyor.

Bu yüzden CVE-2026-35273 sıradan bir “güncelleme açığı” değil. Bu açık, başarılı şekilde kullanıldığında sistemin tamamen ele geçirilmesine kadar gidebilen kritik bir zafiyet.

Açık Nerede Çıktı?​

Zafiyet Oracle PeopleSoft Enterprise PeopleTools ürününde, özellikle Updates Environment Management bileşeninde ortaya çıktı.

Etkilenen sürümler:

• PeopleTools 8.61
• PeopleTools 8.62

PeopleSoft genelde büyük kurumlarda kullanılır. Üniversiteler, kamu kurumları, finans şirketleri, insan kaynakları ve ERP altyapısı olan büyük işletmeler PeopleSoft kullanabilir. Bu yüzden açık sadece teknik bir problem değil; doğrudan insan kaynakları verileri, öğrenci/personel bilgileri, finans kayıtları ve kurumsal sistemlere erişim riski anlamına gelir.

Basit Dille Bu Açık Ne Anlama Geliyor?​

Şöyle düşünelim:

Bir binanın içinde sadece yetkili personelin girmesi gereken bir yönetim odası var. Normalde bu odaya kartla, şifreyle veya güvenlik kontrolüyle girilmesi gerekir. Fakat kapı yanlışlıkla dışarıya açık bırakılmış. Üstelik bu kapıdan içeri giren kişi sadece odayı görmekle kalmıyor; binadaki bazı sistemleri yönetebilecek konuma gelebiliyor.

CVE-2026-35273 tam olarak buna benziyor.

PeopleSoft içinde normalde dışarıya açık olmaması gereken bazı yönetim ve sistem bileşenleri, uygun şekilde korunmadığında saldırgan tarafından HTTP/HTTPS üzerinden hedef alınabiliyor. Sorunun tehlikeli tarafı şu: Saldırganın kullanıcı adı, şifre veya oturum açmış bir hesaba ihtiyacı yok.

Neden Bu Kadar Kritik?​

Bu açığın CVSS skoru 9.8. Bu, güvenlik dünyasında “çok acil kapatılması gereken kritik açık” anlamına gelir.

Sebebi şu:

• Ağ üzerinden kullanılabiliyor.
• Saldırganın kimlik doğrulaması gerekmiyor.
• Kullanıcı etkileşimi gerekmiyor.
• Saldırı karmaşıklığı düşük.
• Başarılı olursa gizlilik, bütünlük ve erişilebilirlik etkileniyor.
• Sonuç uzaktan kod çalıştırmaya kadar gidebiliyor.

Yani saldırganın hedef kurumdan birinin linke tıklamasına, dosya açmasına veya parola vermesine gerek kalmadan saldırı başlatması mümkün hale geliyor.

Hacker Gözüyle Saldırı Mantığı​

Bu saldırıyı anlamak için önce saldırganın neye baktığını anlamak gerekir.

Bir saldırgan PeopleSoft sistemini hedeflediğinde ilk amacı doğrudan “içeri girmek” değildir. Önce dışarıdan görünen kapıları arar. Bu kapılar genelde web servisleri, yönetim panelleri, eski entegrasyon uçları veya yanlışlıkla internete açık bırakılmış sistem bileşenleridir.

Bu CVE’de öne çıkan bileşenler şunlardır:

• PSEMHUB / Environment Management Hub
• PSIGW / Integration Gateway
• HttpListeningConnector benzeri sistemden sisteme çalışan bağlantı noktaları

Bunlar normal bir kullanıcının günlük PeopleSoft ekranında ihtiyaç duyduğu alanlar değildir. Daha çok yönetim, entegrasyon ve sistemler arası haberleşme için kullanılan bileşenlerdir. Sorun da burada başlar: Bu tip bileşenler dış internete açık bırakıldığında saldırgan için değerli bir hedef haline gelir.

Saldırı Zinciri Nasıl İşledi?​

Bu açığın sömürülme mantığı genel olarak şu adımlarla açıklanabilir:

1. Hedeflerin Bulunması​

Saldırgan önce internete açık PeopleSoft sistemlerini arar. Bunu farklı yöntemlerle yapabilir:

• Arama motoru sonuçları
• İnternet tarama servisleri
• Açık port taramaları
• Kurum domainleri üzerinde OSINT araştırması
• Eski PeopleSoft login ekranları
• PSEMHUB veya PSIGW izleri

Bu aşamada saldırganın amacı “bu kurum PeopleSoft kullanıyor mu?” ve “hangi PeopleSoft bileşenleri dışarıdan görünüyor?” sorularına cevap bulmaktır.

Savunma tarafında kurumların kendi domainleri için şu mantıkla kontrol yapması gerekir:

• Kendi domainlerinde PeopleSoft izleri var mı?
• PeopleSoft login ekranı Google’da indekslenmiş mi?
• PSEMHUB veya PSIGW gibi yönetim uçları dışarıdan görünüyor mu?
• Bu sistemler VPN arkasında mı, yoksa herkes erişebiliyor mu?

Burada Google dork kullanımı savunma amaçlı yapılabilir. Örneğin sadece kendi kurum domaini üzerinde şu tarz kontroller yapılır:

site.com "PeopleSoft"

site.com "Oracle PeopleSoft"

Bu aramalar zafiyeti kanıtlamaz. Sadece “bu sistem dışarıdan görünüyor olabilir” sinyali verir.

2. Riskli Uç Noktaların Kontrol Edilmesi​

PeopleSoft sistemlerinde bazı yollar normal kullanıcı ekranları için değildir. Bunlar sistem yönetimi ve entegrasyon tarafında kullanılır.

Bu olayda özellikle şu tip yollar savunma açısından kritik hale geldi:

• /PSEMHUB/*
• /PSEMHUB/hub
• /PSIGW/HttpListeningConnector

Bu yollar internete açıksa risk büyür. Çünkü saldırgan, kimlik doğrulama olmadan bu alanlara istek gönderebiliyorsa, PeopleSoft’un arka taraftaki kritik fonksiyonlarını tetiklemeye çalışabilir.

Basit anlatımla: Saldırgan doğrudan kapıdan girmiyor; sistemin içeride çalışan bir servisini kandırıp kendi adına işlem yaptırmaya çalışıyor.

3. Kimlik Doğrulama Eksikliğinin Kullanılması​

Zafiyetin temel sınıfı “Missing Authentication for Critical Function” olarak geçiyor. Yani kritik bir işlem yapılırken sistem yeterince “Sen kimsin, buna yetkin var mı?” diye sormuyor.

Bu çok tehlikeli bir hata türüdür. Çünkü bir sistemde açık port olması tek başına her zaman felaket değildir; asıl felaket, o portun arkasındaki kritik fonksiyonların yetki kontrolü olmadan çalışmasıdır.

Bu açıkta saldırganın hedeflediği nokta da buydu: Yetki kontrolü zayıf veya eksik olan kritik fonksiyonu dışarıdan tetiklemek.

4. SSRF ve RCE Mantığı​

Bu olayda güvenlik analizlerinde SSRF mekanizmasından bahsedildi. SSRF, Server-Side Request Forgery anlamına gelir.

Bunu çok basit anlatalım:

Normalde dışarıdaki saldırgan, kurumun iç ağındaki bir sisteme doğrudan erişemez. Çünkü firewall vardır, iç ağ kapalıdır. Ama saldırgan, dışarıya açık bir web uygulamasını kandırıp “benim yerime şu iç adrese git, şu isteği yap” dedirtebilirse, dışarıdan göremediği iç sistemlere dolaylı yoldan dokunabilir.

Yani SSRF şuna benzer:

Saldırgan dışarıda bekler. İçeri giremez. Ama kapıdaki görevliye yanlış bir not verip “şu içerideki odaya git ve bunu yap” dedirtir. Görevli içeride yetkili olduğu için saldırganın ulaşamadığı yere ulaşabilir.

CVE-2026-35273’te bu SSRF benzeri mekanizmanın daha ileri seviyede uzaktan kod çalıştırmaya kadar gidebildiği değerlendirildi. RCE, saldırganın hedef sistemde kendi komutlarını çalıştırabilmesi demektir.

Bu noktadan sonra olay artık basit bir web açığı olmaktan çıkar; sistem ele geçirme aşamasına gelir.

Gerçek Saldırılarda Ne Oldu?​

Güvenlik araştırmalarına göre bu açık Oracle’ın resmi duyurusundan önce aktif şekilde kullanıldı. Bu yüzden olay bir zero-day olarak değerlendirildi. Zero-day demek, saldırı başladığında kurumların uygulayabileceği resmi bir yama henüz yoktu demektir.

Gerçek olaylarda saldırganların şu tarz adımlar izlediği görüldü:

1. İnternete açık PeopleSoft sistemleri bulundu.
2. PSEMHUB ve ilişkili uç noktalar hedeflendi.
3. Açık kullanılarak sisteme ilk erişim sağlandı.
4. Sisteme uzaktan yönetim aracı benzeri ajanlar bırakıldı.
5. Bu ajanlar meşru servis gibi gösterildi.
6. İç ağ keşfi yapıldı.
7. PeopleSoft yapılandırma dosyaları incelendi.
8. İç sistemlere yayılma denemeleri yapıldı.
9. Veriler sıkıştırıldı.
10. Veri sızdırma ve şantaj aşamasına geçildi.

Bu saldırının en tehlikeli tarafı, hedefin sadece web ekranı olmamasıydı. Saldırgan PeopleSoft sunucusuna girdikten sonra kurum içindeki diğer sistemleri de incelemeye çalıştı.

MeshCentral Neden Önemli?​

Gerçek saldırı kampanyasında saldırganların MeshCentral ajanlarını kullandığı bildirildi. MeshCentral normalde meşru bir uzaktan yönetim aracıdır. Sistem yöneticileri cihazları yönetmek için kullanabilir.

Ama saldırganın elinde bu tarz araçlar farklı amaçla kullanılır:

• Sistemde kalıcılık sağlamak
• Uzaktan komut çalıştırmak
• İç ağı gezmek
• Dosya indirmek/yüklemek
• Yönetici gibi hareket etmek

Bu olayda ajanların Microsoft Azure servisi gibi gösterilmeye çalışıldığı bildirildi. Bu da klasik bir gizlenme taktiğidir. Saldırgan, güvenlik ekibinin dosya adını görünce şüphelenmemesini ister.

Örneğin bir sunucuda “random-hacker-tool.exe” görürsen herkes şüphelenir. Ama “azure-ops” gibi kurumsal görünen bir isim kullanılırsa ilk bakışta masum sanılabilir.

Zafiyet Nasıl Tespit Edilir?​

Bu açığı tespit etmek için sadece “sürüm kontrolü” yetmez. Çünkü sistem yamalansa bile geçmişte istismar edilmiş olabilir. Bu nedenle üç aşamalı kontrol gerekir:

1. Envanter Kontrolü​

İlk soru şu olmalı:

Kurumda PeopleSoft var mı?

Varsa:

• Hangi PeopleTools sürümü kullanılıyor?
• 8.61 veya 8.62 mi?
• Sistem internete açık mı?
• PSEMHUB aktif mi?
• PSIGW dışarıdan erişilebilir mi?
• Reverse proxy veya WAF arkasında mı?
• Sadece VPN ile mi erişiliyor?

Bu sorulara net cevap verilmeden risk ölçülemez.

2. Dış Maruziyet Kontrolü​

Kurum kendi domainleri için Google dork ve dış yüzey kontrolü yapmalıdır.

Ama burada kritik nokta şudur: Google’da çıkmamak güvenli olduğun anlamına gelmez. Çünkü bir sistem Google tarafından indekslenmemiş olabilir ama yine de internete açık olabilir.

Bu yüzden Google dork sadece başlangıç kontrolüdür. Ardından kurumun kendi asset inventory, firewall, WAF ve dış yüzey yönetimi araçlarıyla doğrulama yapılmalıdır.

Bakılması gereken işaretler:

• PeopleSoft login ekranı dışarıdan açılıyor mu?
• /PSEMHUB/ yolları dışarıdan cevap veriyor mu?
• /PSIGW/ yolları dışarıdan cevap veriyor mu?
• Yönetim bileşenleri IP allowlist olmadan erişilebilir mi?

3. Log Kontrolü​

En kritik tespit alanı loglardır.

Bakılması gereken loglar:

• PeopleSoft PIA WebLogic access logları
• Reverse proxy logları
• WAF logları
• Firewall logları
• DNS logları
• EDR kayıtları
• Windows/Linux process kayıtları
• PeopleSoft uygulama logları

Özellikle şu davranışlar aranmalıdır:

• Dış IP adreslerinden /PSEMHUB/hub yoluna POST istekleri
• Dış IP adreslerinden /PSIGW/HttpListeningConnector yoluna POST istekleri
• İstek içinde localhost, 127.0.0.1, ::1 veya iç IP aralıklarının geçmesi
• PeopleSoft sunucusundan dış internete TCP 445/SMB çıkışları
• Beklenmeyen JSP dosyaları
• PSEMHUB dizinlerinde sonradan oluşmuş dosya ve klasörler
• MeshCentral ajan dosyaları
• Azure gibi görünen ama kurumda tanımlı olmayan ajan/process isimleri
• zstd veya benzeri araçlarla veri sıkıştırma işlemleri
• README tarzı şantaj/defacement dosyaları
• Şüpheli SSH bağlantıları
• PeopleSoft servis hesabıyla beklenmeyen komut çalıştırma

Saldırı Belirtisi Olan Örnek Davranışlar​

Bir kurum şu izleri görüyorsa ciddi şekilde inceleme yapmalıdır:

• PeopleSoft sunucusunda beklenmeyen .jsp dosyaları
• PSEMHUB.war altında normalde olmaması gereken dosyalar
• envmetadata/transactions altında şüpheli dosya veya klasörler
• logs, persistantstorage veya scratchpad gibi beklenmeyen dizinler
• PeopleSoft sunucusundan dış IP’lere SMB bağlantısı
• WebLogic loglarında dış IP kaynaklı POST istekleri
• PeopleSoft sisteminde MeshCentral ajanı
• Microsoft Azure gibi görünen ama kurum tarafından kurulmamış dosyalar
• Sıkıştırılmış büyük arşiv dosyaları
• Veri sızdırmaya uygun anormal trafik

Bu işaretlerden biri tek başına kesin saldırı demek değildir. Ama birkaç tanesi birlikte görülüyorsa olay müdahale süreci başlatılmalıdır.

Açık Nasıl Kapatılır?​

Bu açık için yapılacak en doğru işlem Oracle’ın resmi yamasını ve mitigasyon talimatlarını uygulamaktır.

Ama sadece yama yapmak yeterli değildir. Çünkü saldırı daha önce gerçekleşmiş olabilir. Bu yüzden kapatma süreci şöyle ilerlemelidir:

1. Oracle Güncellemesini Uygula​

PeopleTools 8.61 veya 8.62 kullanan kurumlar Oracle’ın güvenlik güncellemesini acil olarak uygulamalıdır. Bu işlem normal patch takvimine bırakılmamalıdır.

2. EMHub Kullanılmıyorsa Kapat​

Environment Management Hub kullanılmıyorsa devre dışı bırakılmalıdır. Tek sunuculu yapılarda PSEMHUB uygulaması tamamen kaldırılabilir.

3. Dış Erişimi Engelle​

Aşağıdaki yollar dış internete kapatılmalıdır:

• /PSEMHUB/*
• /PSEMHUB/hub
• /PSIGW/HttpListeningConnector

Bu yollar standart son kullanıcı PeopleSoft kullanımında gerekli değildir. Bu nedenle dışarıdan kapatılması genellikle kullanıcıların normal PeopleSoft ekranlarına erişimini bozmaz.

4. WAF Tek Başına Yeterli Görülmemeli​

WAF kuralı faydalıdır ama tek başına yeterli değildir. Çünkü bu tarz saldırılarda istek gövdesi, header veya parametre manipülasyonlarıyla WAF atlatılabilir.

En sağlam yöntem:

• Ağ seviyesinde engelleme
• Firewall kuralı
• Reverse proxy erişim kısıtı
• IP allowlist
• VPN zorunluluğu

5. Outbound SMB Trafiğini Kapat​

PeopleSoft sunucularından internete doğru TCP 445/SMB çıkışı kapatılmalıdır. Bu trafik normal şartlarda dış internete gitmemelidir.

Eğer PeopleSoft sunucusu dışarıya SMB bağlantısı kurmaya çalışıyorsa bu güçlü bir alarmdır.

6. Dosya Sistemi İncelemesi Yap​

Yama sonrası şu dizinler kontrol edilmelidir:

• PSEMHUB.war dizini
• envmetadata/transactions dizini
• PeopleSoft webserv uygulama klasörleri
• WebLogic uygulama dizinleri
• Sonradan eklenmiş .jsp dosyaları
• Sonradan oluşturulmuş .xml dosyaları
• Şüpheli agent dosyaları

Amaç sadece açığı kapatmak değil, saldırganın içeride bir şey bırakıp bırakmadığını anlamaktır.

7. Hesapları ve Gizli Bilgileri Döndür​

Saldırı şüphesi varsa şu bilgiler değiştirilmelidir:

• PeopleSoft yönetici hesapları
• WebLogic yönetici şifreleri
• Veritabanı bağlantı kullanıcıları
• Servis hesapları
• LDAP/AD entegrasyon hesapları
• SSH anahtarları
• API tokenları
• Entegrasyon şifreleri

Çünkü saldırgan yapılandırma dosyalarına eriştiyse bu bilgiler sızmış olabilir.

Kurumlar İçin Acil Kontrol Listesi​

Kısa ve uygulanabilir liste:

1. PeopleSoft kullanıyor musunuz?
2. PeopleTools sürümünüz 8.61 veya 8.62 mi?
3. Sistem internete açık mı?
4. /PSEMHUB/* dışarıdan erişilebilir mi?
5. /PSIGW/HttpListeningConnector dışarıdan erişilebilir mi?
6. Oracle yaması uygulandı mı?
7. EMHub kapatıldı mı?
8. Firewall’da dış erişim engellendi mi?
9. PeopleSoft sunucusundan dışarı TCP 445 çıkışı var mı?
10. 27 Mayıs 2026 sonrası loglar incelendi mi?
11. WebLogic access loglarında şüpheli POST istekleri var mı?
12. Sunucuda beklenmeyen JSP/XML/agent dosyaları var mı?
13. MeshCentral veya benzeri ajan bulundu mu?
14. Veri sıkıştırma/sızdırma belirtisi var mı?
15. Servis hesapları ve şifreler döndürüldü mü?

Google Dork ile Tespit Edilebilir mi?​

Evet, ama bu bir zafiyet doğrulama yöntemi değildir. Google dork sadece dışarıdan görünen izleri bulmaya yarar.

Kurumlar kendi domainleri için şu tarz aramalar yapabilir:

site.com "PeopleSoft"

site.com "Oracle PeopleSoft"

Bu aramalar sadece kurumun kendi sistemleri için yapılmalıdır. Başka kurumların sistemlerini aramak, listelemek veya test etmek hukuki ve etik sorun doğurabilir.

Google dork ile bulunan sonuçlar şu şekilde yorumlanmalıdır:

• PeopleSoft login ekranı görünüyorsa: Dış maruziyet var.
• PSEMHUB izi görünüyorsa: Yönetim bileşeni incelenmeli.
• PSIGW izi görünüyorsa: Entegrasyon uçları incelenmeli.
• Hiç sonuç çıkmıyorsa: Bu güvenli olduğunuz anlamına gelmez.

Bu Açık Neden Blogluk Bir Olay?​

Çünkü bu olay güvenlikte çok temel bir gerçeği tekrar gösterdi:

En büyük saldırılar her zaman “çok karmaşık hack” ile başlamaz. Bazen dışarıya açık kalmış bir yönetim bileşeni, eksik kimlik doğrulama ve zayıf ağ segmentasyonu birleşir; saldırgan da bunu fırsata çevirir.

CVE-2026-35273 olayında saldırganlar sadece bir açığı kullanmadı. Açığı kullandıktan sonra klasik saldırı adımlarını izledi:

• Keşif
• İlk erişim
• Kalıcılık
• İç ağ keşfi
• Yanal hareket
• Veri toplama
• Veri sıkıştırma
• Veri sızdırma
• Şantaj

Yani CVE sadece kapıyı açtı. Asıl zarar, kapı açıldıktan sonra kurumun içeride ne kadar savunmasız olduğuna bağlı olarak büyüdü.

Sonuç​

CVE-2026-35273, Oracle PeopleSoft PeopleTools kullanan kurumlar için kritik bir uyarıdır. Bu açık, kimlik doğrulama olmadan HTTP üzerinden istismar edilebildiği için çok tehlikelidir. PeopleTools 8.61 ve 8.62 kullanan kurumların yalnızca yama yapması yetmez; aynı zamanda geçmişe dönük log analizi, dosya sistemi incelemesi, dış erişim kısıtlaması ve hesap güvenliği kontrolleri yapması gerekir.

En doğru savunma yaklaşımı şudur:

Önce sistemi internete kapat.
Sonra yamayı uygula.
Sonra logları incele.
Sonra saldırgan içeride kaldı mı diye kontrol et.
En son da servis hesaplarını ve gizli bilgileri yenile.

Bu açık bize şunu gösteriyor: Bir sistemin internete açık olması tek başına sorun olmayabilir; ama internete açık sistemin arkasında kimlik doğrulaması eksik kritik fonksiyon varsa, bu artık doğrudan kurumun ele geçirilme riski demektir.


Bu içerik https://spyhackerz.org/forum/forums/ için hazırlanmıştır, izinsin paylaşmayın.

🔒 Bu içeriği görmek için giriş yapın

Giriş Yap Forum Kayıt Ol Telegram Grubumuza Katıl

 

gelmiş benim dizinin yeni bölümü, eline sağlık abi
////
en iyi yazılmış tam fonksiyonlu one-click exploitler: https://spyhackerz.org/forum/threads/tum-sunucular-tehlikede-one-click-exploit.162292/

🔒 Bu içeriği görmek için giriş yapın

Giriş Yap Forum Kayıt Ol Telegram Grubumuza Katıl

 

teşekkürler deli oğlan.

🔒 Bu içeriği görmek için giriş yapın

Giriş Yap Forum Kayıt Ol Telegram Grubumuza Katıl

 

Eline sağlık çok güzel konu 👏

🔒 Bu içeriği görmek için giriş yapın

Giriş Yap Forum Kayıt Ol Telegram Grubumuza Katıl