ShinyHunters Sfruttano una Vulnerabilità Critica in Oracle PeopleSoft

Il gruppo di hacker noto come ShinyHunters ha recentemente trovato un modo per aggirare le misure di sicurezza implementate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo attacco ha portato alla compromissione di decine di sistemi in vari settori, ampliando notevolmente il raggio d’azione delle loro operazioni.

La Vulnerabilità e la Correzione di Oracle

La falla in questione è una vulnerabilità di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In precedenza, questa vulnerabilità era stata utilizzata per distribuire web shell e per eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.

Le Tecniche di Attacco di ShinyHunters

ShinyHunters ha aggirato le regole del Web Application Firewall (WAF) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Hanno utilizzato il percorso “/%50SEMHUB/” invece di “/PSEMHUB/”, sfruttando il fatto che molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica. Questo ha permesso al server applicativo di decodificare la richiesta e inoltrarla al servlet vulnerabile, dando accesso a endpoint che si pensavano protetti.

Settori Colpiti e Conseguenze

In questa nuova ondata di attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati segnalati compromessi anche in ambito tecnologico, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le conseguenze includono l’installazione di web shell, furto di credenziali, movimento laterale e l’esfiltrazione di dati sensibili, come informazioni sulle risorse umane e sulle paghe, utilizzati per scopi di estorsione.

Raccomandazioni per la Sicurezza

Nonostante la correzione ufficiale di Oracle rimanga efficace, il bypass delle mitigazioni riguarda solo le misure basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Si raccomanda quindi di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a “/PSEMHUB” e relative varianti percent-encodate.
• Ispezionare la cartella “/webserv/applications/peoplesoft/PSEMHUB.war/” per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

Con l’aumento delle minacce informatiche, è fondamentale che le organizzazioni rimangano vigili e adottino misure proattive per proteggere i propri sistemi e dati.