Oracle PeopleSoft Güvenlik Açığı: WAF Engeli Nasıl Aşılıyor?

Son dönemde küresel çapta birçok sektörü hedef alan siber saldırı kampanyalarıyla gündeme gelen Oracle PeopleSoft güvenlik açığı, siber güvenlik uzmanlarını alarma geçirdi. Google’ın uyarısıyla ortaya çıkan bu yeni dalga, bilinen bir zafiyetin (CVE-2026-35273) gelişmiş tekniklerle yeniden istismar edildiğini gösteriyor. Saldırganların Web Uygulama Güvenlik Duvarı (WAF) engellerini aşarak sistemlere sızdığı ve kritik verileri hedef aldığı belirtiliyor. CVSS puanı 9.8 olan bu kritik zafiyet, kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma imkanı sunuyor ve kurumsal altyapılar için ciddi bir tehdit oluşturuyor.

PeopleSoft Zafiyetinin Derinlikleri

CVE-2026-35273 kodlu bu güvenlik açığı, aslında daha önce sıfır gün saldırılarında kullanılmıştı. İlk olarak akademik kurumları hedef alan bu saldırılarda, keşif faaliyetleri yürütülmüş, sistemlerde kalıcılık sağlamak adına MeshCentral gibi uzaktan erişim yazılımları konuşlandırılmış ve SSH üzerinden dahili PeopleSoft makinelerine yatay hareketler gerçekleştirilmişti. Bilinen kullanıcı adı ve parola kombinasyonları kullanılarak iç ağda yayılan saldırganlar, kritik verileri çalmayı başarmıştı. O dönemde siber güvenlik ekipleri, bu zafiyetten etkilenen 100’den fazla küresel kuruluşa bildirimde bulunarak olası tehlikelere karşı uyarılar yapmıştı. Bu ilk dalga, PeopleSoft platformunun ne denli hassas olduğunu gözler önüne sermişti.

Ancak mevcut saldırı dalgası, tehdit aktörlerinin taktiklerinde belirgin bir evrimi işaret ediyor. ShinyHunters ile bağlantılı olduğu düşünülen UNC6240 adlı aktör grubu, zafiyeti istismar etme biçimini güncelleyerek daha sofistike hale getirdi. Bu yeni yaklaşım, standart güvenlik mekanizmalarının ötesine geçerek koruma katmanlarını bypass etmeyi başarıyor. Saldırganların bu zafiyete yönelik sürekli geliştirmeleri, kurumsal yazılımlardaki güvenlik açıklarının kapatılmasına rağmen uzun süre tehdit oluşturabileceğini ortaya koyuyor. Özellikle yaygın kullanılan platformlarda ortaya çıkan bu tür zafiyetler, siber güvenlik stratejilerinin sürekli güncellenmesini zorunlu kılıyor.

WAF Bypass Mekanizması ve Teknik Detaylar

Saldırının en dikkat çekici yönlerinden biri, Web Uygulama Güvenlik Duvarı (WAF) kurallarının nasıl aşıldığı. UNC6240, PeopleSoft’un zafiyet barındıran Environment Management Hub (PSEMHUB) uç noktasına yönelik exploit’ini modifiye ederek WAF engellerini etkisiz hale getirdi. Bu bypass, istek yolundaki tek bir karakterin URL kodlamasıyla gerçekleştirildi. Saldırganlar, “/PSEMHUB/” yerine “/%50SEMHUB/” adresini kullanarak WAF kurallarını atlattı. Birçok WAF ve ters proxy, gelen istekleri URL kod çözme işleminden önce literal yol ile eşleştirir. Ancak PeopleSoft uygulama sunucusu, isteği çözdükten sonra zafiyetli servlet’e yönlendiriyor ve bu durum bir boşluk yaratıyor.

Saldırı zinciri, seri hale getirilmiş Java nesneleri içeren POST isteklerinin “/%50SEMHUB/hub” adresine gönderilmesiyle başlıyor. Bu, zafiyetli hedefleri tespit etmek için kullanılıyor. WAF bypass’ı sağlandıktan sonra, PSEMHUB hub servlet‘indeki Java deserialization zafiyeti kötüye kullanılarak sistemlere web kabukları yerleştiriliyor ve dosyasız komut çalıştırma imkanı elde ediliyor. Post-exploit aşamasında WAF tespitlerini minimize etmek amacıyla PSEMHUB.war dizinine iki adet JSP web kabuğu bırakılıyor. Bunlardan x.jsp platformlar arası komut çalıştırma yeteneği sunarken, u.jsp parçalı dosya yüklemeleri ve “cmd.exe” üzerinden komut çalıştırma olanağı sağlıyor.

Saldırının ilerleyen aşamalarında, u.jsp kullanılarak imzalı ancak truva atı içeren bir yükleyici olan “Ple64.exe” sisteme yükleniyor. Bu yükleyici, bellekte SIDEEYE adında bir C++ arka kapısı yüklüyor. SIDEEYE, harici bir sunucu (162.219.30[.]165) ile TCP üzerinden iletişim kurarak tarayıcı ve masaüstü uygulaması kimlik bilgilerini çalma, süreç ve dosya yönetimi, etkileşimli ters kabuk ve ters proxy yetenekleri sunuyor. Ayrıca, tehdit aktörü açık kaynaklı Neo-reGeorg tünelleme aracını da kullanıma sokuyor. Linux sistemlerinde kalıcı erişim sağlamak için ise meşru bir uzaktan yönetim aracı olan MeshAgent konuşlandırılıyor. Bu teknik detaylar, saldırganların ne denli kapsamlı ve çok katmanlı bir yaklaşım benimsediğini gözler önüne seriyor.

Saldırıların Hedefleri ve Etkileri

UNC6240 grubunun son saldırı dalgasında hedeflenen sektörler oldukça geniş bir yelpazeyi kapsıyor. Yüksek öğrenim kurumları, teknoloji şirketleri, bilgi teknolojileri hizmet sağlayıcıları, sağlık sektörü, tarım, ulaştırma ve devlet kurumları bu saldırıların odak noktası olmuş durumda. Saldırganlar, onlarca sistemde web kabukları konuşlandırmayı başardı. Bu, sadece veri hırsızlığı değil, aynı zamanda operasyonel kesintiler ve itibara yönelik ciddi zararlar anlamına geliyor. Hedeflenen kurumların hassas bilgileri, fikri mülkiyetleri ve müşteri verileri doğrudan tehdit altında kalıyor.

Saldırıların pratik sonuçları arasında, çalınan kimlik bilgileriyle daha fazla sisteme erişim sağlanması, hassas verilerin dışarı sızdırılması ve fidye yazılımı saldırıları için zemin hazırlanması gibi senaryolar bulunuyor. Özellikle SIDEEYE arka kapısının tarayıcı ve masaüstü uygulaması kimlik bilgilerini çalma yeteneği, siber suçlulara geniş bir erişim ağı sunuyor. Ayrıca, komutların yaklaşık dörtte birinin root veya NT AuthoritySYSTEM gibi en yüksek ayrıcalık seviyelerinde çalıştırıldığı bilgisi, saldırganların işletim sistemi üzerinde tam kontrol elde ettiğini gösteriyor. Bu durum, etkilenen sistemlerin tamamen ele geçirilebileceği ve kalıcı bir tehdit haline gelebileceği anlamına geliyor.

Sistemlerinizi Güvende Tutmak İçin Atılması Gereken Adımlar

Bu tür gelişmiş saldırılara karşı savunma, çok katmanlı ve sürekli güncel bir güvenlik stratejisi gerektiriyor. Öncelikle, Oracle PeopleSoft kullanıcılarının CVE-2026-35273 için yayınlanmış tüm güvenlik yamalarını ve güncellemeleri gecikmeksizin uygulamaları kritik öneme sahip. Bilinen zafiyetlerin yamalanması, saldırganların işini büyük ölçüde zorlaştıracaktır. Bununla birlikte, mevcut WAF kurallarının URL kod çözme işlemlerini nasıl ele aldığının titizlikle incelenmesi gerekiyor. WAF’ların, gelen istekleri çözülmüş formda analiz edecek şekilde yapılandırılması, benzer bypass tekniklerine karşı ek bir koruma sağlayabilir.

Kurumların proaktif olarak ağlarını izlemesi ve anormallikleri tespit etmesi hayati önem taşıyor. Sistemlerde olağan dışı web kabuğu faaliyetleri, arka kapı iletişimi (özellikle 162.219.30[.]165 gibi bilinen kötü niyetli IP adresleriyle), dosya yüklemeleri ve beklenmedik komut çalıştırmaları gibi belirtiler yakından takip edilmelidir. Güçlü kimlik doğrulama mekanizmaları ve ayrıcalıklı erişim kontrollerinin uygulanması, saldırganların yatay hareket kabiliyetini kısıtlar. Ayrıca, düzenli güvenlik denetimleri ve sızma testleri, sistemlerdeki zafiyetlerin tespit edilmesine ve düzeltilmesine yardımcı olur. Kullanıcı eğitimi ve farkındalık çalışmaları da sosyal mühendislik saldırılarına karşı bir savunma hattı oluşturur.

WAF Bypass: Siber Güvenliğin Yeni Sınırları

Oracle PeopleSoft’taki bu olay, WAF bypass tekniklerinin siber güvenlik manzarasındaki önemini bir kez daha ortaya koyuyor. WAF’lar, web uygulamalarını yaygın saldırılara karşı korumak için tasarlanmış olsa da, saldırganlar sürekli olarak bu savunma katmanlarını aşmanın yeni yollarını buluyor. Bu durum, kurumların sadece uç noktalara veya tekil güvenlik cihazlarına güvenmek yerine, derinlemesine savunma stratejilerini benimsemesinin ne kadar gerekli olduğunu gösteriyor. Güvenlik duvarları, saldırı tespit ve önleme sistemleri, uç nokta koruma çözümleri ve kimlik yönetimi gibi farklı katmanların entegre bir şekilde çalışması, bu tür sofistike saldırılara karşı daha dirençli bir yapı sunar.

Tehdit aktörlerinin, meşru uzaktan yönetim araçlarını (MeshAgent) veya açık kaynaklı tünelleme kitlerini (Neo-reGeorg) kullanarak tespit edilmekten kaçınma çabaları da dikkat çekiyor. Bu, güvenlik ekiplerinin sadece bilinen kötü amaçlı yazılımları değil, aynı zamanda yasal araçların kötüye kullanımını da izlemesi gerektiğini vurguluyor. Kurumsal siber güvenlik, sadece teknik yamalarla değil, aynı zamanda tehdit istihbaratının sürekli takibi ve güvenlik mimarisinin evrimiyle de şekillenmek zorunda. PeopleSoft zafiyetinin tekrar eden istismarı, eski veya bilinen açıkların bile doğru tekniklerle nasıl yeniden ciddi bir tehdit haline gelebileceğinin güçlü bir örneğidir.