FBI Nasıl Hacklendi? ShinyHunters'ın PeopleSoft Saldırı Zinciri ve Tek Karakterlik WAF Bypass

22 Eylül 2026’da ShinyHunters, FBI’ın iş başvuru portalı apply.fbijobs.gov‘u ele geçirdiğini açıkladı. Haberin başlıkları “FBI hacklendi” şeklinde çıktı, ama teknik tarafta birkaç farklı konu birbirine karışıyor. Haziran ayında kullanılan PeopleSoft açığı, Eylül ayında aynı açığın WAF bypass ile yeniden istismar edilmesi ve FBI saldırısında kullanıldığı iddia edilen ayrı bir zero-day aynı hikayenin içinde yer aldı. Bunları birbirinden ayırmak gerekiyor.

Zaman Çizelgesi: Haziran’daki Zero-Day’den Eylül’deki FBI İddiasına

  • 27 Mayıs – 9 Haziran 2026: UNC6240 (ShinyHunters), Oracle’ın henüz haberdar olmadığı bir PeopleSoft açığını zero-day olarak kullanıyor. Mandiant, potansiyel olarak zafiyetli endpoint’leri tespit ettiği 100’den fazla kuruma bildirim yapıyor; hedeflerin büyük kısmı yüksek öğretim kurumları.
  • 10 Haziran 2026: Oracle, normal yama döngüsünün dışında acil bir güvenlik uyarısı yayımlıyor: CVE-2026-35273, CVSS 9.8.
  • Haziran sonu – Eylül: Kurumların bir kısmı Oracle’ın yamasını uygularken, bir kısmı yama uygulanana kadar /PSEMHUB/ yoluna WAF/perimeter seviyesinde engelleme koyuyor.
  • 22 Eylül 2026: ShinyHunters, FBIJobs portalını ele geçirdiğini duyuruyor ve siteyi bir “seizure banner” ile deface ediyor.
  • 22-23 Eylül 2026: FBI, fbijobs.gov portalına yönelik bir compromise iddiasından haberdar olduğunu ve olayı araştırdığını açıklıyor. İhlalin üçüncü taraf bir sistemde mi yoksa FBI’ın kendi altyapısında mı gerçekleştiğinin henüz belirlenmediğini belirtiyor.
  • 25 Eylül 2026: Google Threat Intelligence Group (Mandiant), ShinyHunters’ın aynı CVE’yi tek bir karakteri URL-encode ederek WAF kurallarını atlatacak şekilde yeniden istismar ettiğini ve bunu özellikle yama uygulanmamış ve yalnızca WAF kuralıyla korunmaya çalışılan kurumlara karşı kullandığını rapor ediyor. Mandiant bu dalgada dünya çapında onlarca sistemin etkilendiğini bildiriyor.
  • 28 Eylül 2026: TechCrunch’ın haberine göre FBI’ın personeline gönderdiği iç yazıda olay “cyber security incident” olarak tanımlanıyor ve isim, adres, görev unvanı ile SSN’lerinin etkilenmiş olabileceği bildiriliyor. Bu, FBI’ın 23 Eylül’deki açıklamasına göre daha ayrıntılı bir bildirim. Ancak ShinyHunters’ın iddia ettiği 2-3 TB veri ve GovCloud’a lateral movement gibi detayları doğrulamıyor.

CVE-2026-35273: SSRF, Deserialization ve RCE

Oracle, CVE-2026-35273’ü PeopleSoft Enterprise PeopleTools 8.61 ve 8.62’nin Updates Environment Management bileşeninde bulunan, kimlik doğrulama gerektirmeyen kritik bir zafiyet (CVSS 9.8) olarak yayımladı. Zero Day Initiative’in ayrı ayrı yayımladığı teknik advisory’lere göre (ZDI-26-387/388/389) aynı CVE altında üç ayrı teknik kusur tanımlanıyor: HttpListeningConnector bileşeninde kimlik doğrulama gerektirmeyen bir SSRF, HubMBeanPersistance‘da güvenilmeyen verinin deserialize edilmesi, ve ExecuteProcessActivityCommand üzerinden dışarıdan kontrol edilebilen bir dosya yolu.

Saldırgan doğrudan HTTP isteğine bir komut yazmıyor. /PSEMHUB/hub, PeopleSoft’un Environment Management Hub bileşenindeki zafiyetli servlet’e karşılık geliyor. CVE kapsamında tanımlanan Java deserialization kusuru üzerinden bu servlet’e gönderilen serialized Java nesnesi işleniyor ve bu zincir WebLogic JVM içinde kod çalıştırılmasına kadar ilerleyebiliyor.

Google/Mandiant’ın gözlemlediği ilk dalgada saldırganlar bu zinciri mayıs sonu-haziran başında, Oracle henüz farkında değilken zero-day olarak kullandı.

Tek Karakterlik WAF Bypass: /%50SEMHUB/

Yama uygulanana kadar bazı kurumlar /PSEMHUB/ yolunu WAF seviyesinde engelledi. Eylül kampanyasında saldırganlar bu kontrolü /%50SEMHUB/ ile aştı.

Saldırgan
   │
   │  POST /%50SEMHUB/hub
   │  (serialized Java object)
   ▼
WAF / reverse proxy
   │  literal path eşleşmesi:
   │  "/PSEMHUB/" var mı?
   │  "/%50SEMHUB/" ≠ "/PSEMHUB/"
   │  → kural tetiklenmiyor, istek geçiyor
   ▼
PeopleSoft / WebLogic
   │  URL decode: %50 → "P"
   │  /%50SEMHUB/ → /PSEMHUB/
   ▼
/PSEMHUB/hub
   │
   ▼
Java deserialization
   │
   ▼
RCE

Mandiant’ın raporuna göre istismar öncesinde hedef sunuculara tipik olarak /%50SEMHUB/hub‘a 5–15 adet POST isteği, serialized Java nesnesiyle birlikte gönderiliyor. Saldırganlar RCE sonrası iki yöntem kullanıyor: web shell deployment ve fileless command execution; ikisi de aynı PSEMHUB hub servlet’indeki Java deserialization’ı istismar ediyor. Yerleştirilen web shell’lere erişim isteklerinden biri GET üzerinden gerçekleşiyor, örneğin GET /%50SEMHUB/<webshell>.jsp?c=id;hostname;uname+-a.

İşin ilginç tarafı sadece path bypass değil. Mandiant’ın analiz ettiği x.jsp web shell’i de WAF tespitlerini azaltacak şekilde tasarlanmış: komutları cleartext olarak query string’de almak yerine HTTP POST üzerinden hex-encoded şekilde kabul ediyor. İşletim sistemini otomatik tespit edip Windows’ta cmd.exe çalıştırıyor, Linux’ta ise /bin/sh string’ini doğrudan kullanmak yerine ASCII karakter array’inden yeniden oluşturuyor — klasik static signature kontrollerinden kaçınmaya yönelik ayrı bir defense evasion katmanı.

Burada kritik nokta %50 karakterinin kendisi değil, WAF ile uygulama sunucusunun aynı isteği farklı yorumlaması. WAF /%50SEMHUB/ değerini literal olarak değerlendirirken, PeopleSoft application server %50‘yi decode edip isteği /PSEMHUB/ endpoint’i olarak işliyor. Pentest tarafında bunun karşılığı klasik bir canonicalization mismatch. /PSEMHUB/ için yazılmış bir WAF kuralı, arkasındaki PeopleSoft bileşeni hala yamalanmamışsa gerçek bir güvenlik sınırı oluşturmuyor. Önemli bir nüans: burada WAF’ın tamamı devre dışı kalmıyor, saldırgan sadece /PSEMHUB/ için yazılmış tek bir path-based kuralı normalization farkından yararlanarak aşıyor.

Mandiant’ın Eylül raporuna göre kampanya yüksek öğretimin dışına da çıktı. Teknoloji/BT hizmetleri, sağlık, tarım, ulaştırma ve kamu sektöründeki sistemler de hedefler arasındaydı. Dünya çapında onlarca sistem etkilendi.

FBIJobs de PeopleSoft tabanlıydı. ShinyHunters’ın FBI saldırısını gerçekleştirdiğini söylediği dönemde aynı grup, PeopleSoft sistemlerine karşı /%50SEMHUB/ bypass’ını aktif olarak kullanıyordu. Ancak FBI tarafında /%50SEMHUB/ veya CVE-2026-35273 kullanıldığına dair henüz bir teknik veri bulunmuyor.

FBI Vakası: Aynı Zafiyet mi, Yeni Bir Zero-Day mi?

FBI tarafındaki tablo ise daha net değil. FBIJobs/Candidate Gateway altyapısında PeopleSoft kullanılıyor. CVE-2026-35273’ün PeopleSoft sistemlerinde geniş çaplı olarak istismar edildiği ise bağımsız kaynaklarla doğrulanmış durumda. Eylül kampanyasında WAF bypass tekniğinin kullanıldığı da Mandiant tarafından gözlemlendi.

23 Eylül’de FBI, resmi açıklamasında fbijobs.gov portalının ele geçirildiği iddiasından ve FBI personeline ait PII’nin etkilenmiş olabileceğinden haberdar olduğunu, olayı araştırdığını söyledi. İhlalin üçüncü taraf bir sistemde mi yoksa FBI’ın kendi altyapısında mı gerçekleştiğinin hala belirsiz olduğunu açıkça belirtti. Reuters, sızdırılan örnek veride FBI Direktörü Kash Patel dahil en az on kişiye ait kayıtların gerçek kişilerle eşleştiğini bildirdi. Ancak veri setinin tamamını bağımsız olarak doğrulayamadı. TechCrunch’ın haberine göre FBI, 28 Eylül’de personeline gönderdiği iç yazıda olayı bir “cybersecurity incident” olarak tanımladı ve isim, adres, görev unvanı ve SSN’lerin etkilenmiş olabileceğini resmen bildirdi.

ShinyHunters’ın iddiaları:

  • FBI saldırısında CVE-2026-35273 yerine “henüz bildirilmemiş” ayrı bir PeopleSoft zero-day’i kullanıldı.
  • Buradan FBI’ın AWS GovCloud altyapısına, HR, Medlink, Criminal Justice, PEGA ve PHIRE sistemlerine lateral movement yapıldı.
  • Toplam 2-3 TB veri sızdırıldı.

Bu iddiaların kapsamı FBI tarafından henüz doğrulanmadı. Bu zero-day’in varlığına ilişkin bağımsız bir teknik doğrulama da yok. BleepingComputer ve diğer bağımsız kaynaklarda bunu teyit eden teknik bir veri bulunmuyor. “FBI, CVE-2026-35273 ile hacklendi” demek, elimizdeki kanıtın ötesine geçen bir iddia olur.

Candidate Gateway ile FBI’ın iç ağı arasındaki mimari ayrım önemli. FBI’ın kendi 2022 tarihli Privacy Impact Assessment dokümanına göre Candidate Gateway (FBIJobs’un başvuru portalı), AWS GovCloud üzerinde PeopleSoft HRS 9.2, Oracle Database 19c ve Drupal ile çalışıyor. Bu sistem FBI’ın HR sistemi olan HR Source‘a (FBI’ın güvenli ağı FBINet üzerinde) doğrudan bağlı değil. İkisi arasında Cross Domain Solution (CDS) adlı, tek yönlü ve kontrollü bir veri transfer katmanı var. Başvuru verileri bu katman üzerinden toplu olarak aktarılıyor.

İnternet
   │
   ▼
FBIJobs.gov / Candidate Gateway
   │  (PeopleSoft HRS 9.2, Oracle DB 19c, Drupal — AWS GovCloud)
   ▼
Cross Domain Solution (CDS)
   │  tek yönlü, kontrollü, toplu transfer
   ▼
HR Source (FBINet — güvenli ağ)

Sistemde isim, SSN, doğum tarihi, adres ve sağlık notları gibi hassas kişisel veriler bulunuyor. Bu kategoriler FBI’ın kendi PIA dokümanında açıkça listelenmiş. Ancak bunların etkilenmiş olması tek başına FBI’ın iç ağı olan FBINet’in ele geçirildiğini göstermiyor. ShinyHunters’ın bu sınırın da aşıldığı yönündeki iddiasını destekleyen bağımsız bir teknik kanıt şu an için yok.

Sonuç

Tek karakterlik %50 encoding, WAF ile backend arasındaki URL normalization farkının nasıl istismara dönüşebildiğini gösteriyor. /PSEMHUB/ için yazılmış bir WAF kuralı, uygulama hala yamalanmamışsa yeterli bir güvenlik kontrolü değil.

FBI saldırısında ise kullanılan zafiyet ve saldırı zinciri henüz bağımsız teknik kanıtlarla ortaya konmuş değil. FBI kendi açıklamasında fbijobs.gov’a yönelik iddiadan ve personel PII’sinin etkilenmiş olabileceğinden haberdar olduğunu söyledi, ancak ihlalin nasıl ve nereden (üçüncü taraf mı, kendi altyapısı mı) gerçekleştiğini doğrulamadı. Kamuya açık veriler PeopleSoft/WAF bypass kampanyasının gerçek olduğunu gösteriyor, ama bunun FBI olayındaki teknik karşılığı henüz bilinmiyor.

Kaynaklar

Birincil teknik kaynaklar

FBI olayına ilişkin kaynaklar

Destekleyici kaynaklar