重點整理
- 駭客利用 URL 編碼繞過 WAF 防火牆，攻擊 Oracle PeopleSoft 嚴重漏洞。
- 攻擊者成功植入網頁木馬，取得伺服器最高權限並竊取資料進行勒索。
- 企業應盡速套用官方修補程式，並檢查系統紀錄檔與異常流量以阻斷入侵。
許多中小企業主以為網站裝了 WAF（網頁應用程式防火牆，一種過濾惡意流量的安全機制）就高枕無憂，但近期的資安事件顯示，駭客能用意想不到的簡單技巧繞過防護。Google 近期警告，攻擊者正大規模利用 Oracle PeopleSoft 系統的嚴重漏洞，成功入侵多個行業的組織並竊取資料。這不僅是大型機構的危機，任何依賴網站處理業務的中小企業，都該了解背後的風險與防範之道。
駭客如何「騙過」防火牆，悄悄入侵網站？
這次被利用的漏洞編號為 CVE-2026-35273，嚴重程度極高，允許駭客在不需要密碼的情況下，遠端在伺服器上執行惡意程式。原本，系統的 WAF 會阻擋駭客存取存在漏洞的特定路徑。
但攻擊者使用了一招「文字遊戲」：他們將路徑中的字母 P 進行 URL 編碼（將字元轉換為網路傳輸格式的技術），變成 P。當請求送到 WAF 時，防火牆因為還沒解碼，看不出這是違規路徑就放行了；但後端的 PeopleSoft 伺服器會自動將 P 翻譯回 P，成功連上漏洞並執行攻擊。
入侵後做了什麼？從植入木馬到資料勒索
成功繞過防火牆後，攻擊者（與 ShinyHunters 駭客組織有關）會利用 Java 反序列化漏洞，在網站目錄中植入 Web Shell（網頁木馬，讓駭客透過瀏覽器遠端控制伺服器的惡意程式）。
有了網頁木馬，駭客就能上傳更多惡意軟體，甚至取得伺服器的最高控制權（如 root 或 SYSTEM 權限）。他們會在系統中安裝遠端控制工具，方便長期潛伏。根據研究，這類駭客的最終目的通常是「資料勒索」：先偷偷備份並竊取機密檔案，再威脅企業若不支付贖金，就將資料公開在暗網。
企業現在可以採取的自保步驟
面對這類具備高度隱蔽性的攻擊，企業不能只依賴防火牆，必須採取更積極的防禦措施：
- 盡速修補漏洞：立即為系統套用 CVE-2026-35273 的官方更新，或直接停用存在漏洞的服務。
- 檢查系統紀錄檔：請工程師檢查 WebLogic 存取紀錄檔，尋找包含 /PSEMHUB/ 或其編碼變體的異常請求。
- 輪換密碼與憑證：更改所有可能被該服務讀取的密碼，並檢查系統中是否出現不明的大型壓縮檔案。
- 監控異常流量：密切留意網站對外連線的流量，若發現伺服器偷偷將資料傳到外部未知 IP，應立即切斷網路並進行調查。
崴米的建議
網站安全不是上線後就結束，而是需要長期關注的動態過程。針對這次事件，我們給中小企業主兩個實用的建議：
第一，不要假設防火牆能擋下所有攻擊。WAF 雖然重要，但系統本身的漏洞修補與紀錄檔監控同樣關鍵。建議您定期檢視網站的安全狀態，確保核心系統保持在最新且安全的版本。
第二，將網站的日常維護交給專業團隊。當重大漏洞爆發時，第一時間的修補與主機狀態監看，能大幅降低被駭客盯上的機率。如果您希望上線後有人幫忙顧主機、處理憑證與備份，歡迎了解我們的 網站代管維護與主機監看 服務，讓專業團隊為您把關網站安全。
參考來源：Attackers Bypass WAFs to Exploit Oracle PeopleSoft Flaw and Deploy Web Shells
