ShinyHunters Sfruttano una Falla Critica in Oracle PeopleSoft: Rischi e Raccomandazioni

Il gruppo di hacker noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza e ha riattivato l’utilizzo di una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo ha portato a un’espansione degli attacchi, compromettendo decine di sistemi in vari settori.

La vulnerabilità in questione è una deserializzazione insicura di oggetti Java che consente l’esecuzione remota di codice. In passato, questa falla era stata sfruttata per distribuire web shell o eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando alla vulnerabilità l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.

Gli hacker hanno eluso le regole del Web Application Firewall (WAF) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Invece di utilizzare /PSEMHUB/, gli attaccanti hanno richiesto <code/%50SEMHUB/, permettendo così l’accesso agli endpoint ritenuti mitigati. Questo è possibile perché molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica, mentre il server applicativo decodifica la richiesta e la inoltra al servlet vulnerabile.

Questa nuova ondata di attacchi non si limita più al settore dell’istruzione superiore; sono stati segnalati compromessi anche in ambito tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Gli attacchi hanno portato all’installazione di web shell, furto di credenziali, movimento laterale e esfiltrazione di dati sensibili, come informazioni HR e paghe, per finalità di estorsione.

È importante sottolineare che la correzione ufficiale rimane efficace. Il bypass riguarda esclusivamente le mitigazioni basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Pertanto, si raccomanda di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic per cercare richieste a /PSEMHUB e relative varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

In conclusione, la situazione attuale richiede attenzione e azioni tempestive da parte delle organizzazioni che utilizzano Oracle PeopleSoft, per proteggere i propri sistemi e dati sensibili da potenziali attacchi futuri.