ShinyHunters Sfruttano una Vulnerabilità Critica in Oracle PeopleSoft

Il gruppo criminale noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza applicate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa nuova ondata di attacchi ha compromesso decine di sistemi in vari settori, ampliando il raggio d’azione delle loro operazioni.

La Vulnerabilità e il suo Impatto

La falla in questione è una vulnerabilità di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In precedenza, questa vulnerabilità era stata sfruttata per distribuire web shell e per eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.

La Tecnica di Attacco

ShinyHunters ha trovato un modo per bypassare le regole del Web Application Firewall (WAF) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Hanno richiesto /%50SEMHUB/ invece di /PSEMHUB/; molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica, permettendo così l’accesso agli endpoint ritenuti mitigati.

Settori Colpiti

Questa nuova ondata di attacchi non si limita più al settore dell’istruzione superiore. Sono stati rilevati compromessi in vari ambiti, tra cui:

• tecnologia
• servizi IT
• sanità
• agricoltura
• trasporti
• pubblica amministrazione

Le conseguenze degli attacchi includono l’installazione di web shell, il furto di credenziali, il movimento laterale all’interno delle reti e l’esfiltrazione di dati sensibili, come informazioni HR e paghe, per finalità di estorsione.

Raccomandazioni di Sicurezza

Nonostante la correzione ufficiale rimanga efficace, il bypass riguarda solo le mitigazioni basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Si raccomanda pertanto di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server.
• Rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

Adottare queste misure è fondamentale per garantire la sicurezza dei sistemi e prevenire futuri attacchi.

Scritto da

Redazione

Tutti gli articoli