Oracle PeopleSoft 的 CVE-2026-35273 SSRF 漏洞评分高达 9.8,ShinyHunters 从 5 月 27 日起利用它攻击了约 100 家组织,其中 68% 是高校,英国诺丁汉大学已经公开承认受害。从 Mandiant 公布的攻击链还原、暂存服务器里的 bash 脚本、176.120.22.24 外联 IP 和 zstd 压缩痕迹,看这次「高校被一锅端」背后,ShinyHunters 从攻击 FBI 失败后转向防守更松的高校的「替代战场」策略。

一个名为 TeamPCP 的黑客组织正在以前所未有的规模向开源代码库注入恶意代码，GitHub、OpenAI、Mercor 等数百家企业已受影响。本文深度解析这场史上最大规模供应链攻击的运作机制。