22 Ekim 2026 Kurumsal Bilgi Teknolojileri
BT Teknoloji
Siber Güvenlik

ShinyHunters, Oracle PeopleSoft Zafiyetine Karşı WAF Bypass Tekniğiyle Saldırı Düzenliyor

26 Eyl 2026

Tehdit Aktörünün Yeni Bypass Tekniği

ShinyHunters şantaj çetesi, Oracle PeopleSoft uygulamalarını korumak amacıyla dağıtılan Web Uygulama Güvenlik Duvarı (WAF) kurallarını aşmak için ileri URL kodlama teknikleri kullanıyor. Bu yöntem, zafiyetin birçok açık kaynak ve ticari WAF çözümü tarafından algılanmasını sağlayan mevcut koruma mekanizmalarını etkisiz hale getiriyor.

CVE-2026-35273 Zafiyeti ve Saldırı Kapsamı

Ele alınan zafiyet (CVE-2026-35273), Oracle PeopleSoft sistemlerinde kritik bir güvenlik açığı olup, başarıyla istismar edildiğinde saldırganların yetkisiz erişim sağlamasına ve veri tabanına ulaşmasına olanak tanıyor. ShinyHunters’ın bu yöntemi benimsemesiyle birlikte, zafiyet söz konusu olan sunucuların geniş çapta hedef alınması riski artmıştır.

WAF Bypass Mekanizması

URL kodlama (URL encoding) tekniklerinin uygulanmasıyla, saldırganlar:

  • Zararlı yükü (payload) WAF imzalarından gizleyerek
  • Filtreleme motorlarını kandırarak
  • İçerik denetim mekanizmalarını atlatarak

…istismarı başarıyla gerçekleştirmektedir. Bu yaklaşım, standart WAF kuralları tarafından algılanmayan ancak hedef uygulama tarafından normal biçimde işlenen isteklerin iletilmesine dayanır.

Kuruluşlara Önerilen Acil Adımlar

Etkilenen kuruluşlar aşağıdaki önlemleri en kısa zamanda almalıdır:

  • Oracle Yamaları: Resmi güvenlik yamasını derhal uygulamak
  • WAF Kurallarının Güçlendirilmesi: Bypass tekniklerine karşı detektif ve koruyucu kuralların güncellenmesi
  • HTTP Normalleştirme: Tüm URL kodlama varyantlarının normalleştirilmesi ve kontrol edilmesi
  • Günlük Analizi ve İzleme: Anomalı etkinlik ve şüpheli erişim denemelerine karşı gerçek zamanlı izleme
  • Ağ Bölümlendirmesi: PeopleSoft örneklerinin kritik bir alt ağda yalıtılması

Tehdit İstihbaratı ve Etkiler

ShinyHunters’ın bu tür gelişmiş teknikler geliştirmesi, siber suçlu ekosisteminin WAF ürünlerine karşı bağışıklık kazanmakta olduğunu göstermektedir. Kuruluşlar, WAF’ı tek başına bir savunma katmanı olarak görmeyen, çok katmanlı bir güvenlik stratejisi benimsemeleri gerekir.

Kaynak: BleepingComputer

İlgili Haberler