Saldırganlar, bir web uygulamasındaki SQL enjeksiyon açığını kullanarak bir kuruluşun Oracle veritabanına sızdılar. Daha sonra, derleyici aracılığı ile khunt adlı bir post-exploitation toolkit'ini yüklediler ve Windows SYSTEM erişimi elde ettiler.
Huntress adlı bir güvenlik firması, bu saldırının izlerini 27 Temmuz 2026 tarihinde keşfetti ve saldırının zincirini SYSTEM düzeyinde kod yürütmesine kadar takip etti.
Açık olan uygulama, bir otomatik tamamlama arama alanında girilen verileri doğrulamadan veritabanına JDBC bağlantısı üzerinden iletiyordu. Bu bağlantı, yeterli ayrıcalığa sahip bir hesaba sahipti.
Oracle, bu açıkları kapatmak için herhangi bir yama yayınlamadı. Saldırganların kullandığı araçları bulmak için, Oracle kurulumunda Khunt adlı nesne adlarını ve SQL günlüklerinde KHUNT% gibi ifadeleri aramakgerekli.
Derlenen bir Java sınıfı, bir dosya sistemi nesnesi, bir ikili dosya veya bir süreç değil, Oracle'ın içlerine bir saldırı başlangıç noktası olarak kullanılıyor. Huntress'e göre, saldırganlar veritabanını sorgulamaktan ziyade ona saldıran bir konumda bulunuyorlar.