Selama 13 hari, siapa pun yang tahu satu endpoint HTTP di Oracle PeopleSoft bisa menjalankan kode apa saja di server korban tanpa login sama sekali — dan Oracle sendiri belum tahu apa-apa. Kelompok pemeras data ShinyHunters memanfaatkan jendela itu untuk membobol lebih dari 100 organisasi lewat 300-an instance PeopleSoft, lalu mulai mempublikasikan data curian pada 9 Juni 2026. Oracle baru menerbitkan advisory dan tambal daruratnya sehari setelah itu (The Hacker News).
Urutan kejadian itu yang membuat kasus CVE-2026-35273 berbeda dari bug kritikal biasa: bukan cuma soal skor CVSS-nya yang nyaris sempurna, tapi soal siapa yang lebih dulu tahu — penyerang, bukan vendor.
Satu Request HTTP, Tanpa Login, Langsung Kuasai Server
CVE-2026-35273 adalah remote code execution tanpa autentikasi di komponen Environment Management PeopleSoft PeopleTools versi 8.61 dan 8.62, dengan skor CVSSv3.1 9,8 dari 10. Penyerang cukup mengirim satu request HTTP yang disusun khusus ke endpoint Environment Management Hub (PSEMHUB) yang terekspos, dan server langsung bisa dikendalikan penuh — tidak perlu kredensial, tidak perlu interaksi pengguna, dan kompleksitas serangannya rendah (Google Cloud Threat Intelligence).
Eksploitasi di alam liar sudah berlangsung sejak 27 Mei 2026 — jauh sebelum siapa pun di luar penyerang tahu celah ini ada. ShinyHunters, yang dilacak sebagai kelompok UNC6240, memakai akses itu untuk mengumpulkan data dari ratusan instance sebelum mulai memeras korban dan membocorkan data ke publik pada 9 Juni. Oracle baru merilis security alert resmi plus patch out-of-band pada 10 Juni — artinya vendor secara efektif kalah start dua minggu penuh dari kelompok yang mengeksploitasi produknya sendiri.
Kampus Jadi Sasaran Utama, Bukan Kebetulan
Dari 100-plus organisasi yang terkonfirmasi jadi korban, 68 persennya adalah institusi pendidikan tinggi — universitas dan kampus di berbagai negara, dengan konsentrasi terbesar di Amerika Serikat. Data yang dicuri mencakup catatan gaji, data bantuan finansial mahasiswa, dokumen imigrasi, informasi kesehatan, catatan akademik, sampai PII karyawan (Google Cloud Threat Intelligence).
Ini bukan kebetulan target. PeopleSoft HCM dan Campus Solutions sudah lama jadi tulang punggung sistem administrasi kampus — mengelola payroll dosen, data bantuan keuangan mahasiswa, sampai rekam akademik dalam satu platform yang sama. Kombinasi "sistem inti yang jarang di-audit ulang" dengan "data super sensitif dalam satu tempat" itulah yang membuat sektor pendidikan proporsinya jauh lebih besar dibanding sektor lain dalam gelombang serangan ini, meski PeopleSoft dipakai luas juga di korporasi dan pemerintahan.
Tambalan Darurat Bulan Juni Ternyata Belum Final
Patch out-of-band 10 Juni menutup celah spesifik yang dieksploitasi ShinyHunters, tapi belum jadi kata akhir. Oracle baru benar-benar merampungkan penutupan rantai kerentanan terkait lewat Critical Patch Update kuartalan pada 21 Juli 2026 — salah satu rilis CPU terbesar dalam sejarah Oracle, mencakup 1.455 celah keamanan baru sekaligus di seluruh lini produknya, bukan cuma PeopleSoft (HNGN).
Jeda enam minggu antara patch darurat Juni dan penutupan penuh di CPU Juli itu sendiri jadi sinyal: organisasi yang cuma menganggap dirinya "sudah aman" begitu menambal celah pertama berisiko masih membawa instance yang rentan terhadap variasi serangan yang belum sepenuhnya tercakup patch awal — pola yang belakangan makin sering muncul di ekosistem enterprise software lawas seperti PeopleSoft, yang instalasinya sering dijalankan bertahun-tahun tanpa upgrade besar karena kompleksitas migrasinya sendiri (Oracle Security Alerts).
Takeaway
Kasus ini punya urutan yang jarang terjadi eksplisit di depan publik: penyerang mengeksploitasi celah 13 hari sebelum vendor sendiri sadar, lalu mulai membocorkan data sehari sebelum advisory resmi terbit. Kalau organisasi kamu masih menjalankan PeopleSoft PeopleTools 8.61 atau 8.62 — apa pun industrinya, bukan cuma kampus — patch darurat Juni dan Critical Patch Update 21 Juli sama-sama wajib sudah terpasang. Dan karena data yang sempat bocor mencakup PII sensitif, verifikasi log akses ke endpoint Environment Management sejak akhir Mei layak jadi langkah lanjutan, bukan sekadar menambal lalu dianggap selesai.
---
Sumber gambar: Philipp Katzenberger di Unsplash Sumber gambar: imgix di Unsplash Sumber gambar: imgix di Unsplash
The conversation 0
No comments yet. Start the conversation.