De ShinyHunters Oracle PeopleSoft WAF-bypass is een herinnering dat een firewallregel niet hetzelfde is als een oplossing. Volgens berichtgeving van BleepingComputer gebruikt de afpersingsbende een URL-coderingstruc om regels van de web application firewall (WAF) te omzeilen die bedoeld waren om de Oracle PeopleSoft-kwetsbaarheid met kenmerk CVE-2026-35273 te mitigeren. Het resultaat: aanvallers hebben de grootschalige exploitatie van kwetsbare servers kunnen hervatten.

Voor organisaties die op een WAF-regel als hun belangrijkste verdediging hebben vertrouwd, is dit het moment om de zaak opnieuw te beoordelen.

Hoe het URL-coderingstruc langs WAF-regels glipt

Een WAF staat voor een webapplicatie en inspecteert inkomende verzoeken. Veel mitigerende maatregelen voor een nieuw bekendgemaakte kwetsbaarheid werken door een bekend slecht patroon in een verzoek te herkennen, zoals een bepaald pad of een bepaalde tekenreeks, en dit te blokkeren.

URL-codering is een standaardmanier om tekens in een webadres weer te geven, bijvoorbeeld door een teken te schrijven als een procentteken gevolgd door een code. Webservers decoderen deze waarden voordat ze ze verwerken. Dat creëert een kloof: als de WAF-regel naar het letterlijke patroon zoekt, maar de applicatie een gecodeerde versie van hetzelfde verzoek begrijpt, kunnen de twee het verkeer anders interpreteren. Volgens het rapport is dat het soort verschil dat ShinyHunters misbruikt om langs op PeopleSoft gerichte WAF-regels te glippen.

Het bronartikel publiceert geen volledige technische details van de gecodeerde verzoeken, en wij zullen niet speculeren buiten wat is gerapporteerd. Wat voor verdedigers belangrijk is, is het principe. Een op signaturen gebaseerde blokkering van één vorm van een kwaadwillig verzoek kan vaak worden omzeild door dat verzoek in een andere maar gelijkwaardige vorm aan te bieden.

Onderzoekers van derden die de campagne volgen, hebben ongeauthenticeerde remote code execution in Oracle PeopleSoft PeopleTools en de plaatsing van webshells op niet-gepatchte systemen beschreven. Mandiant en Google Threat Intelligence Group worden ook genoemd als degenen die de hernieuwde exploitatie hebben geïdentificeerd. Als die beschrijvingen kloppen, lekt een succesvol verzoek niet alleen een record; het kan een aanvaller een voet aan de grond op de server geven.

Waarom een WAF een lapmiddel is, geen patch voor CVE-2026-35273

WAF-regels worden vaak virtuele patches genoemd, en ze hebben een echte rol. Wanneer een leveranciersfix nog niet beschikbaar is of niet onmiddellijk kan worden uitgerold, kan een regel de blootstelling verminderen terwijl teams zich voorbereiden op een juiste update.

Maar een virtuele patch beschermt de deuropening, niet de kamer erachter. De kwetsbare code staat nog steeds op de server. Iedereen die een verzoekformaat vindt dat de WAF niet herkent, kan die bereiken. Dat is precies de situatie die hier wordt beschreven.

Een echte patch verandert het kwetsbare gedrag zelf, zodat het niet afhangt van hoe een verzoek is geschreven of gecodeerd. Daarom is de richtlijn in gevallen als deze consistent: pas de fix van de leverancier toe en behandel elke WAF-regel als een tijdelijke maatregel die tijd koopt in plaats van het probleem sluit.

Er is ook een procesles. Als uw risicoregister een kwetsbaarheid als "gemitigeerd" vermeldt omdat er een WAF-regel bestaat, kan die status te ruim zijn voorgesteld. Overweeg zulke items te markeren als "compenserende maatregel aanwezig, patch in afwachting" zodat ze zichtbaar blijven tot de fix is toegepast.

Wat het afpersingsmodel van ShinyHunters betekent voor blootgestelde organisaties

ShinyHunters staat bekend als een afpersingsbende, wat het risico vormt. Het doel is doorgaans het verkrijgen van gevoelige gegevens of toegang, en vervolgens het slachtoffer onder druk zetten om te betalen. PeopleSoft ondersteunt vaak HR-, loonadministratie- en studentensystemen, die precies het soort gegevens bevatten dat afpersers hefboomwerking geeft.

De eerdere activiteit van de groep geeft een beeld van hoe dit verloopt. In het Udemy-datenschandaal gelinkt aan ShinyHunters claimde de groep verantwoordelijkheid voor een inbreuk op het online leerplatform, wat een patroon illustreert van het mikken op organisaties met grote hoeveelheden gebruikersgegevens.

De praktische implicatie is dat blootstelling niet beperkt blijft tot het moment van intrusie. Zelfs nadat een server is opgeschoond, kunnen gestolen gegevens worden gebruikt voor druk, en een achtergelaten webshell kan opnieuw toegang mogelijk maken. Organisaties die internetgerichte PeopleSoft draaien, moeten denken in termen van zowel preventie als compromisbeoordeling.

Wat dit voor u betekent

Als u Oracle PeopleSoft draait, vooral met internetgerichte componenten, is het belangrijkste punt eenvoudig: ga er niet van uit dat uw WAF u dekt voor CVE-2026-35273. Aanvallers hebben aangetoond dat ze die regels kunnen omzeilen.

Als u student, werknemer of klant bent van een organisatie die PeopleSoft gebruikt, kunt u de server niet zelf patchen, maar u kunt de gevolgen beperken als gegevens worden blootgesteld. Wees alert op onverwachte e-mails of berichten die naar uw account verwijzen, aangezien afpersingscampagnes vaak tot phishing leiden. Gebruik unieke wachtwoorden en schakel multi-factor authenticatie in waar dit wordt aangeboden. De State of Ransomware 2026-bevindingen zijn een nuttige herinnering dat gestolen inloggegevens en phishing nog steeds belangrijke manieren zijn waarop aanvallers binnenkomen, dus accounthygiëne blijft belangrijk, zelfs wanneer de initiële inbreuk niet uw schuld is.

Praktische stappen: patchen, gelaagde verdediging en monitoring

Voor IT- en beveiligingsteams ziet een verstandige volgorde van handelingen er als volgt uit:

  • Patch eerst. Pas Oracle's fix voor CVE-2026-35273 zo snel als uw wijzigingsproces toelaat toe op elke getroffen PeopleSoft-instantie.
  • Behoud de WAF, maar vertrouw er niet op. Werk regels bij waar u kunt, en overweeg verzoeken te normaliseren of decoderen vóór inspectie, maar behandel dit als een ondersteunende laag.
  • Verminder blootstelling. Beperk de toegang tot PeopleSoft zodat alleen de componenten die echt internettoegang nodig hebben die ook hebben.
  • Jaag op tekenen van compromis. Omdat webshells zijn gemeld op niet-gepatchte systemen, controleer servers op onverwachte bestanden, ongebruikelijke processen en vreemde uitgaande verbindingen, vooral als u op enig moment niet-gepatcht was.
  • Monitor en log. Houd gedetailleerde web- en serverlogs bij zodat u achteraf kunt onderzoeken.
  • Bereid een incidentplan voor. Weet wie beslist, wie communiceert en hoe u zou reageren op een afpersingseis.

De onderste regel

De ShinyHunters Oracle PeopleSoft WAF-bypass laat zien hoe snel een lapmiddel kan falen wanneer aanvallers gemotiveerd zijn. Patch PeopleSoft tijdig, behandel uw WAF als één laag naast meerdere andere, en controleer op tekenen van compromis bij alles wat blootgesteld was. Voor een blik op de staat van dienst van de groep, lees onze berichtgeving over het ShinyHunters Udemy-datenschandaal, en voor bredere context over hoe aanvallers netwerken binnendringen, zie het hierboven gelinkte ransomwarerapport van 2026.