ShinyHunters Sfruttano una Vulnerabilità Critica in Oracle PeopleSoft: Rischi e Raccomandazioni

Il gruppo criminale noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza implementate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa situazione ha portato a un ampliamento degli attacchi, compromettendo decine di sistemi in vari settori, tra cui tecnologia, sanità e pubblica amministrazione.

La vulnerabilità in questione è una deserializzazione insicura di oggetti Java che consente l’esecuzione remota di codice. In passato, questa falla era stata utilizzata per distribuire web shell o eseguire comandi fileless. Oracle, consapevole della gravità della situazione, ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62. Questa vulnerabilità è stata identificata con il codice CVE-2026-35273 e ha ricevuto un punteggio di criticità di 9,8.

Un aspetto preoccupante è che gli attaccanti sono riusciti a bypassare le regole del Web Application Firewall (WAF) codificando un singolo carattere nel percorso della richiesta. Invece di inviare la richiesta a /PSEMHUB/, gli attaccanti utilizzano <code/%50SEMHUB/, il che consente loro di accedere a endpoint ritenuti sicuri. Questo metodo di attacco sfrutta il fatto che molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica, permettendo così l’accesso al servlet vulnerabile.

In questa nuova ondata di attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati segnalati compromessi anche in ambiti come servizi IT, agricoltura, trasporti e pubblica amministrazione. Le conseguenze di questi attacchi includono l’installazione di web shell, il furto di credenziali e l’esfiltrazione di dati sensibili, come informazioni relative a risorse umane e stipendi, utilizzati per scopi di estorsione.

Nonostante la gravità della situazione, la correzione ufficiale di Oracle rimane efficace. Il bypass riguarda solo le mitigazioni basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Pertanto, è fondamentale che le organizzazioni interessate adottino misure immediate per proteggere i propri sistemi.

Le raccomandazioni per le aziende che utilizzano Oracle PeopleSoft includono:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

In conclusione, la situazione attuale rappresenta una grave minaccia per le organizzazioni che utilizzano Oracle PeopleSoft. È essenziale che le aziende adottino misure proattive per mitigare i rischi e proteggere i propri dati sensibili.