La falla di Oracle PeopleSoft sfruttata dal gruppo ShinyHunters non è un singolo bug, ma una catena di tre vulnerabilità. Lo spiega la Zero Day Initiative (ZDI) di TrendAI in un’analisi tecnica pubblicata questa settimana. Oracle le aveva corrette a giugno con un unico identificativo, CVE-2026-35273, che consente a un attaccante non autenticato di eseguire codice da remoto sui server PeopleSoft.
Cosa sappiamo della falla di Oracle PeopleSoft
Secondo il bollettino di sicurezza di Oracle, CVE-2026-35273 riguarda PeopleSoft Enterprise PeopleTools nelle versioni 8.61 e 8.62 e può interessare anche i clienti delle applicazioni PeopleSoft Enterprise. La vulnerabilità è sfruttabile da remoto senza autenticazione e può portare all’esecuzione di codice. The Hacker News riporta un punteggio CVSS di 9.8 e ricorda che la falla è nel catalogo delle vulnerabilità sfruttate della CISA.
ZDI, che ha segnalato il problema a Oracle, afferma di aver comunicato tre vulnerabilità distinte in due componenti di PeopleSoft e di lavorare con l’azienda per assegnare un CVE separato a ciascuna.
Come funziona la catena di vulnerabilità
Il primo anello è una falla di tipo SSRF (server-side request forgery) nell’Integration Gateway (PSIGW), il componente che scambia messaggi con sistemi esterni: un attaccante può decidere sia l’indirizzo verso cui il server inoltra la richiesta sia il contenuto inviato. Il secondo componente è l’Environment Management Hub (PSEMHUB), un’interfaccia di gestione interna che dovrebbe rispondere solo a host fidati. Il problema, spiega ZDI, è che l’elenco degli host autorizzati include di default l’indirizzo locale 127.0.0.1: indirizzando la SSRF verso il server stesso, la richiesta supera il controllo.
Da lì ZDI descrive due strade per eseguire codice: scrivere un file arbitrario, per esempio una web shell, nella cartella dell’applicazione, oppure depositare un file XML malevolo che PSEMHUB carica al successivo avvio del servizio, una tecnica che lascia meno tracce ai sistemi di rilevamento tradizionali.
Gli attacchi di ShinyHunters
Secondo Mandiant e Google Threat Intelligence Group, citati da The Hacker News, ShinyHunters ha sfruttato la falla tra il 27 maggio e il 9 giugno, soprattutto contro università, prima che fosse disponibile la correzione. A settembre Mandiant ha segnalato una nuova ondata più ampia, che ha colpito anche aziende tecnologiche, sanità, trasporti ed enti pubblici. In quella fase gli attaccanti aggiravano le regole dei web application firewall che bloccavano il percorso /PSEMHUB/ codificando un solo carattere dell’indirizzo. È lo stesso schema visto in altri casi recenti di falle sfruttate segnalate dalla CISA: un filtro di rete non sostituisce l’aggiornamento.
Cosa fare con Oracle PeopleSoft: patch e controlli
- Installare la correzione del Security Alert di Oracle per CVE-2026-35273 e restare su una versione di PeopleTools supportata.
- Se non si può aggiornare subito, seguire le mitigazioni indicate da Oracle, come disattivare il servizio Environment Management Hub o rimuovere l’applicazione PSEMHUB, a seconda della configurazione.
- Non affidarsi solo al firewall applicativo: Mandiant sottolinea che il blocco basato sul percorso non sostituisce la patch.
- Cercare segni di compromissione: in presenza di una web shell il server va considerato compromesso, le prove vanno conservate e tutte le credenziali raggiungibili dal livello PeopleSoft vanno cambiate.
- Prepararsi a un possibile ricatto, visto che ShinyHunters ruba dati per poi chiedere un pagamento, come già accaduto in altri casi di attacchi alla catena di fornitura digitale.
Resta un punto aperto: né Oracle né le altre fonti chiariscono se la patch elimini un accesso già ottenuto dagli attaccanti. Per questo chi ha sistemi esposti dovrebbe verificare con attenzione anche i server già aggiornati.
Fonti: Zero Day Initiative, Oracle, The Hacker News.
