CVE-2026-35273: वह PeopleSoft ज़ीरो-डे जिसने उच्च शिक्षा की ERP समस्या को नज़रअंदाज़ करना असंभव बना दिया

कमज़ोरियों की एक ऐसी श्रेणी है जिससे सुरक्षा टीमें सबसे अधिक डरती हैं: वह नहीं जिसका कोई चमकदार नाम हो या जिस पर मीडिया में खूब शोर मचे, बल्कि वह शांत, बिना प्रमाणीकरण वाली रिमोट कोड एग्जीक्यूशन खामी जो किसी ऐसे कंपोनेंट में छुपी हो जिसे किसी ने मॉनिटरिंग सूची में डाला ही न हो। CVE-2026-35273 ठीक इसी तरह की खामी है। मई के अंत से जून 2026 की शुरुआत के बीच, इसने हमलावरों को विश्वविद्यालय HR सिस्टम, पेरोल प्लेटफॉर्म और छात्र सूचना पोर्टल के सामने के दरवाज़े से बिना किसी पासवर्ड का अनुमान लगाए घुसने की सुविधा दे दी। इससे जो सबक मिलता है वह मुख्यतः किसी एक खतरनाक समूह या पीड़ितों की संख्या के बारे में नहीं है। यह उस संरचनात्मक अंध बिंदु के बारे में है जो उच्च शिक्षा में एंटरप्राइज़ ERP बुनियादी ढांचे को लगातार एक कम आंके जाने वाले अटैक सरफेस के रूप में स्थापित करता है।

CVE-2026-35273 वास्तव में क्या है (और 9.8 स्कोर क्यों मायने रखता है)

CVE-2026-35273 Oracle PeopleSoft के Environment Management Hub में एक गंभीर रिमोट कोड एग्जीक्यूशन कमज़ोरी है, जिसे आमतौर पर PSEMHUB कहा जाता है। Mandiant और Google की Threat Intelligence Group (GTIG) के अनुसार, इस कमज़ोरी का CVSS स्कोर 9.8 है, जो इसे गंभीरता के पैमाने की सबसे ऊपरी सीमा पर रखता है। स्कोर इतना ऊँचा होने का तकनीकी कारण ही इसे इतना शिक्षाप्रद बनाता है: बिना किसी प्रमाणीकरण के एक हमलावर PSEMHUB एंडपॉइंट पर एक विशेष रूप से तैयार किया गया अनुरोध भेजकर बिना किसी क्रेडेंशियल के अंतर्निहित सिस्टम पर पूर्ण कोड एग्जीक्यूशन प्राप्त कर सकता है। न कोई फ़िशिंग, न चुराया हुआ सेशन टोकन, न कोई अंदरूनी पहुँच ज़रूरी।

Mandiant और GTIG ने 27 मई से 9 जून 2026 तक सक्रिय शोषण गतिविधि देखी। उसी रिपोर्ट के अनुसार Oracle ने अपनी सुरक्षा एडवाइज़री 10 जून 2026 को प्रकाशित की। वह तेरह दिन की खिड़की, जिसमें कमज़ोरी को हथियार बनाया गया और कोई आधिकारिक नोटिस या पैच मौजूद नहीं था, यही ज़ीरो-डे शोषण की औपचारिक परिभाषा है, और यही वह परिदृश्य है जो भेद्यता प्रबंधन कार्यक्रमों को उनका बजट सार्थक करने पर मजबूर करता है। यहाँ मुख्य रक्षात्मक अंतर्दृष्टि समय से जुड़ी है: पहले शोषण और विक्रेता प्रकटीकरण के बीच का अंतराल वह जगह है जहाँ केवल पैच-मंगलवार शैली की प्रतिक्रियात्मक उपचार पर निर्भर संगठन सबसे अधिक उजागर होते हैं।

PSEMHUB, PeopleSoft का एक प्रशासनिक कंपोनेंट है — एक ऐसा प्लेटफॉर्म जो उच्च शिक्षा में HR, पेरोल और छात्र सूचना प्रबंधन के लिए व्यापक रूप से उपयोग किया जाता है। यह अक्सर इंटरनेट-फेसिंग होता है और जैसा कि इस अभियान ने दिखाया, इसकी पहुँच के अधिकारों की तुलना में अक्सर कम निगरानी में रहता है। ऐसे बुनियादी ढांचे में CVSS 9.8 जिसे प्रशासक पृष्ठभूमि की नलसाजी की तरह मानते हैं, यही वह गलत अनुमानित जोखिम मूल्यांकन है जिसका फायदा उठाने के लिए अटैक चेन बनाई जाती हैं।

अटैक चेन: PSEMHUB कैसे एक फुटहोल्ड बना

हमलावर किस तरह प्रारंभिक पहुँच से लेकर स्थायी नियंत्रण तक पहुँचे, इसकी यांत्रिकी को समझना इस घटना का सबसे शैक्षिक हिस्सा है। Mandiant और GTIG के अनुसार, PSEMHUB एंडपॉइंट का शोषण प्रारंभिक पहुँच वेक्टर था, जो CVE-2026-35273 के अनुरूप है। अंदर पहुँचने के बाद, हमलावर के स्टेजिंग वातावरण ने अनुकूलित MeshCentral एजेंट होस्ट किए जो वैध क्लाउड एंडपॉइंट के रूप में छुपाए गए थे। MeshCentral एक वास्तविक, वैध रिमोट मैनेजमेंट टूल है; इसे स्थायी पहुँच के लिए एक आवरण के रूप में पुनः उपयोग करना एक तकनीक है जिसे सुरक्षा शोधकर्ता "लिविंग-ऑफ-द-लैंड" कहते हैं, और इसे समझना ज़रूरी है क्योंकि यह उन पहचान नियमों की एक महत्वपूर्ण श्रेणी को विफल कर देता है जो स्पष्ट रूप से दुर्भावनापूर्ण टूलिंग की तलाश करते हैं न कि दुरुपयोग किए गए वैध सॉफ़्टवेयर की।

Rescana के अनुसार, अभियान के परिणामस्वरूप व्यापक डेटा चोरी और जबरन वसूली हुई, जिसके बाद सार्वजनिक डेटा लीक भी सामने आए। Mandiant और GTIG की रिपोर्ट में कहा गया कि 100 से अधिक वैश्विक संगठनों को सूचनाएँ मिलीं कि उनके IP पते संभावित रूप से कमज़ोर एंडपॉइंट से संबंधित हैं। उनमें से 68 प्रतिशत उच्च शिक्षा क्षेत्र में काम करते थे, और अधिकांश संयुक्त राज्य अमेरिका में स्थित थे। यह एकाग्रता संयोगवश नहीं है। उच्च शिक्षा संस्थान आमतौर पर छात्र रिकॉर्ड, वित्तीय सहायता और HR के लिए PeopleSoft चलाते हैं, वे अक्सर अपने डेटा की तुलना में कम सुरक्षा टीमों के साथ काम करते हैं, और उनके सिस्टम पर अक्सर छात्र डेटा के आसपास अनुपालन दायित्व होते हैं जो उल्लंघनों को परिचालन और कानूनी रूप से महंगा बनाते हैं।

ERP सिस्टम क्यों हैं एक कम आंका गया अटैक सरफेस

CVE-2026-35273 से सबसे टिकाऊ सबक संरचनात्मक है। एंटरप्राइज़ ERP प्लेटफॉर्म जैसे PeopleSoft को उन्हें प्रबंधित करने वाले अधिकांश लोग सुरक्षा परिधि के रूप में नहीं सोचते। उन्हें व्यावसायिक सिस्टम के रूप में सोचा जाता है: वह चीज़ जो पेरोल चलाती है, नामांकन ट्रैक करती है, अनुपालन रिपोर्ट तैयार करती है। यह मानसिक मॉडल प्लेटफॉर्म की वास्तविक एक्सपोज़र प्रोफ़ाइल और सुरक्षा संचालन से इसे मिलने वाले ध्यान के बीच एक अंतर पैदा करता है।

Rescana के अनुसार, यह अभियान महत्वपूर्ण एंटरप्राइज़ अनुप्रयोगों के खिलाफ ज़ीरो-डे कमज़ोरियों का लाभ उठाने में खतरनाक अभिनेताओं की बढ़ती परिष्कृतता को दर्शाता है और भेद्यता प्रबंधन और घटना प्रतिक्रिया क्षमताओं की तत्काल आवश्यकता को उजागर करता है। यह व्याख्या सही है, लेकिन रक्षकों के लिए व्यावहारिक अनुवाद अधिक विशिष्ट है: PSEMHUB एंडपॉइंट बिना प्रतिपूरक नियंत्रण के इंटरनेट-फेसिंग नहीं होने चाहिए, ERP प्लेटफॉर्म के प्रशासनिक कंपोनेंट किसी भी अन्य उच्च-विशेषाधिकार प्रणाली जैसे ही नेटवर्क सेगमेंटेशन अनुशासन के हकदार हैं, और वैध रिमोट मैनेजमेंट टूल के असामान्य उपयोग की निगरानी एक डिटेक्शन निवेश है जिसका व्यापक लाभ कई अटैक पैटर्न में मिलता है, न केवल इसमें।

सुरक्षा टीमों और रक्षात्मक संचालन सीख रहे छात्रों के लिए, यह घटना एक उपयोगी केस स्टडी है कि कम आंके गए कंपोनेंट से अटैक चेन कैसे बनाई जाती है। कमज़ोरी स्वयं नई और अज्ञात थी। दृढ़ता के लिए उपयोग की जाने वाली टूलिंग वैध थी। लक्ष्य चयन डेटा मूल्य और संसाधन बाधाओं को देखते हुए तार्किक था। इन तीनों में से किसी को भी व्यक्तिगत रूप से असाधारण परिष्कार की आवश्यकता नहीं थी; मिलकर, वे एक ऐसे अभियान में जुड़ गए जिसने पैच मौजूद होने से पहले 100 से अधिक संगठनों को प्रभावित किया।

रक्षकों और सीखने वालों के लिए इसका क्या अर्थ है

Oracle की 10 जून 2026 की एडवाइज़री PeopleSoft चलाने वाले किसी भी संस्थान के लिए शुरुआती बिंदु होनी चाहिए, अंतिम नहीं। उपलब्ध पैच लागू करना तत्काल, अनिवार्य कार्रवाई है। लेकिन दीर्घकालिक सीख मुद्रा के बारे में है: आपके वातावरण में कौन से प्रशासनिक कंपोनेंट इंटरनेट-फेसिंग और कम निगरानी में हैं, आपके स्टैक में कौन से वैध टूल को दृढ़ता के लिए पुनः उपयोग किया जा सकता है, और आपकी डिटेक्शन पाइपलाइन किसी उच्च-विशेषाधिकार एंडपॉइंट तक अप्रमाणित पहुँच को कितनी जल्दी फ़्लैग करेगी।

भेद्यता प्रबंधन में कौशल विकसित कर रहे छात्रों और व्यवसायियों के लिए, CVE-2026-35273 इस बात का एक स्पष्ट उदाहरण है कि CVSS स्कोर अकेले जोखिम को नहीं दर्शाते। एक ऐसे कंपोनेंट में 9.8 जिसे कोई मॉनिटर नहीं करता, व्यवहार में उस कंपोनेंट में 9.8 से अधिक खतरनाक है जो प्रतिपूरक नियंत्रण से घिरा हो। जोखिम हमेशा संदर्भगत होता है। ऐसे घटनाओं से सबसे कम नुकसान के साथ निकलने वाले संस्थान वे हैं जो ERP प्रशासनिक इंटरफेस के साथ वही संदेह लागू करते हैं जो वे सार्वजनिक-फेसिंग वेब अनुप्रयोगों पर करते हैं। यह कोई जटिल सिद्धांत नहीं है। यह बस एक कम सराहा गया सिद्धांत है, और यह अभियान इसे कम सराहने की कीमत है।

Oracle के अनुवर्ती पैचिंग मार्गदर्शन और PSEMHUB हार्डनिंग दस्तावेज़ीकरण पर नज़र रखें क्योंकि घटना विश्लेषण परिपक्व होता है। तकनीकी अपडेट के लिए ट्रैक करने के लिए Security Week और Mandiant तथा GTIG रिपोर्ट प्राथमिक स्रोत हैं। यदि आपका संस्थान या संगठन PeopleSoft चलाता है, तो यह एक्सपोज़र ऑडिट करने, पैच स्थिति सत्यापित करने और यह पुनः देखने का समय है कि आपकी निगरानी आपके ERP स्टैक के प्रशासनिक स्तर में क्या कवर करती है।