作者：默思編輯部 發布：2026-10-08
資安圈在2026年夏天又迎來一波重大供應鏈式攻擊事件：駭客集團ShinyHunters利用Oracle PeopleSoft系統中一個嚴重程度達CVSS 9.8分的零時差漏洞CVE-2026-35273，在短短兩週內入侵逾300個應用程式實例，波及超過100個組織。
這個漏洞的危險之處在於，未經身分驗證的遠端攻擊者就能完全接管PeopleSoft系統，完全不需要取得任何有效帳密。攻擊活動集中在2026年5月27日至6月9日之間，Oracle直到6月10日才證實此次攻擊活動，並發布緊急的帶外（out-of-band）修補程式——這也意味著在修補程式釋出前的這段期間，所有未更新的PeopleSoft部署幾乎都處於門戶大開的狀態。
由於PeopleSoft長年是學校系統常用的ERP平台，負責學生資料、財務補助、人資與薪資等核心業務，此次受害組織中有高達68%來自高等教育產業。其中，英國諾丁漢大學證實其學生紀錄系統中「大量資料」遭存取，約45萬4600筆現任與歷屆學生紀錄外洩，內容包含護照號碼、住址，甚至種族與身心障礙狀態等敏感個資，外洩範圍之廣泛，在校園資安事件中相當罕見。
ShinyHunters過去已多次與Ticketmaster、AT&T等知名企業的重大資安事件有關，手法相當一致：竊取資料、主動聯繫受害者、勒索付款，若遭拒絕便公開外洩資料施壓。這個集團長期鎖定企業內部廣泛使用、但資安投資相對不足的老舊ERP系統，而非直接攻擊防護較嚴密的核心應用，是一種典型的「找最軟的那塊磚」攻擊策略。
這類事件也是提醒：系統修補節奏、最小權限原則與異常存取監控，才是抵禦這類「單點突破、全面淪陷」攻擊的根本之道。尤其是像PeopleSoft這類服役超過十年、架構老舊卻又難以汰換的核心系統，往往正是攻擊者眼中最具性價比的目標——因為一旦得手，波及的組織數量與資料規模都會相當可觀。
從漏洞遭利用到廠商發布修補程式，中間往往存在數天甚至數週的空窗期，而這正是攻擊者集中火力搶攻的黃金時間。對企業資安團隊而言，建立快速偵測異常流量與緊急隔離受影響系統的應變機制，往往比單純等待官方修補程式更能降低實際損失。對學校這類IT預算有限、系統汰換週期又特別長的機構而言，如何在有限資源下優先強化最核心、最難被取代的ERP系統防護，會是未來幾年資安投資必須正視的課題，也考驗著資訊單位在有限經費下排列防護優先順序的判斷能力，而非總是等到事件爆發後才被動追加預算。
想打好程式與系統基礎、理解資安風險背後的程式邏輯，歡迎從Python課程開始累積實作經驗。