谷歌威胁情报团队（GTIG）与 Mandiant 近日警告，与 ShinyHunters 相关的攻击者（代号 UNC6240）正在重启对 Oracle PeopleSoft 的大规模攻击。他们通过一个巧妙的"URL 编码"技巧绕过了 Web 应用防火墙（WAF）规则，重新利用高危漏洞 CVE-2026-35273 入侵尚未打补丁的服务器。
一个字符绕过 WAF
CVE-2026-35273 的 CVSS 评分为 9.8，属严重级别，可导致未经身份认证的远程代码执行，问题出在 PeopleSoft 的环境管理中枢（PSEMHUB）端点。此前，许多 WAF 与反向代理通过匹配请求路径中的字面字符串 "/PSEMHUB/" 来阻断攻击。
攻击者的新招数很简单：把路径中的一个字符做 URL 编码。他们请求 /%50SEMHUB/ 而不是 /PSEMHUB/——"%50"正是大写字母 "P" 的 URL 编码。
许多 WAF 与反向代理规则在 URL 解码之前就匹配字面路径，而 PeopleSoft 应用服务器会对请求解码，并将其路由到存在漏洞的 servlet。
—— Mandiant
结果是：WAF 看到的是"陌生"路径而放行，后端却把它还原成真正的攻击入口。
攻击链：从反序列化到后门
据谷歌描述，完整攻击链大致如下：
- 向 "/%50SEMHUB/hub" 发送包含序列化 Java 对象的 POST 请求，以筛选可攻击目标；
- 滥用 PSEMHUB servlet 的 Java 反序列化漏洞，部署 Web Shell 并实现"无文件"命令执行；
- 在 PSEMHUB.war 目录投放两个 JSP Web Shell：x.jsp 用于跨平台命令执行，u.jsp 支持分块文件上传并可通过 cmd.exe 执行命令；
- 用 u.jsp 上传一个带签名的"木马化"安装程序 Ple64.exe，在内存中加载 C++ 后门 SIDEEYE，与外部服务器（162.219.30[.]165）通过 TCP 通信，具备浏览器与桌面应用凭据窃取、进程与文件管理、交互式反弹 Shell 与反向代理等能力；
- 同时投放开源隧道工具 Neo-reGeorg；在 Linux 系统上则部署正规的远程管理工具 MeshAgent 以维持持久访问。
谷歌指出，攻击者约四分之一的命令以 root 或 NT Authority\SYSTEM 权限执行，等于完全控制了操作系统；其余命令则在 PeopleSoft 或 WebLogic 服务账号下运行。
影响范围
最新一波攻击的目标覆盖高等教育、科技、IT 服务、医疗、农业、交通与政府等多个行业，攻击者已在数十台系统上部署 Web Shell。CVE-2026-35273 最初是作为零日漏洞，在 2026 年 6 月针对高校的攻击中被利用，当时 Mandiant 向 100 多家受影响机构发出了通知。
防御建议
谷歌与 Mandiant 建议相关组织尽快采取以下措施：
- 为 CVE-2026-35273 打补丁；
- 在多服务器配置中禁用环境管理中枢（EMHub）服务，单服务器配置中直接移除 PSEMHUB 应用；
- 在 WebLogic 访问日志中检索 "/PSEMHUB/" 及其百分号编码变体；
- 检查 PSEMHUB.war 目录是否存在 JSP Web Shell 等恶意产物；
- 轮换 PeopleSoft 应用服务账号可读取的凭据；
- 在 PeopleSoft 与数据库主机上排查临时目录或可 Web 访问目录中的大体积归档文件；
- 审查数据库审计日志，关注针对人事、薪资与学生记录表的大批量查询或导出；
- 监控来自 PeopleSoft 主机的出站流量。
小结
这次事件再次说明，WAF 的字符串匹配规则并非万无一失——一个百分号编码就可能让防线形同虚设。对运行 PeopleSoft 的机构来说，真正的解法仍是及时打补丁、收敛不必要的服务入口，并做好日志与凭据的排查。