La vulnerabilidad crítica de Oracle PeopleSoft que el grupo ShinyHunters explota desde mayo no es una sola falla, sino tres encadenadas. Así lo reveló el Zero Day Initiative (ZDI), el equipo de investigación que la reportó a Oracle. Oracle corrigió las tres bajo un único identificador, CVE-2026-35273, con puntuación CVSS de 9.8. La falla afecta a PeopleSoft Enterprise PeopleTools 8.61 y 8.62 y permite tomar el control del servidor sin credenciales.
Los ataques comenzaron antes de que existiera el parche. Mandiant y Google Threat Intelligence Group atribuyen una campaña al grupo UNC6240, conocido como ShinyHunters. Entre el 27 de mayo y el 9 de junio atacó sobre todo a universidades, antes del aviso de Oracle del 10 de junio. En septiembre, Mandiant reportó una segunda ola más amplia. Esta alcanzó a empresas de tecnología, servicios de TI, salud, agricultura, transporte y gobierno, con decenas de sistemas afectados en todo el mundo. La falla figura en el catálogo de vulnerabilidades explotadas activamente de CISA, la agencia de ciberseguridad de Estados Unidos.
La cadena involucra dos componentes que funcionan como aplicaciones web separadas. El primero es el Integration Gateway (PSIGW), que intercambia mensajes con sistemas externos. Allí reside una falla de SSRF: un atacante obliga al servidor a enviar peticiones a la dirección que él elija. El segundo es el Environment Management Hub (PSEMHUB), una interfaz interna de administración que solo debería responder a equipos de confianza. PSEMHUB valida a quién atender con el archivo allowedhosts.properties, que por defecto incluye la dirección local 127.0.0.1. Así, el atacante dirige la SSRF hacia esa dirección y la petición parece venir del propio servidor. El control de confianza deja de servir.
Desde ahí, ZDI describe dos caminos hacia la ejecución remota de código. El primero abusa de un comando de PSEMHUB para escribir registros. El atacante controla el contenido y la ruta del archivo, y planta una web shell, es decir, una puerta trasera web para ejecutar comandos. El segundo escribe un archivo XML malicioso que PSEMHUB procesa con XMLDecoder de Java al reiniciar el servicio. Esta segunda vía no deja web shell y resulta más difícil de detectar. ZDI trabaja con Oracle para asignar un CVE independiente a cada falla.
El caso también expone los límites de los filtros perimetrales. En la ola de septiembre, ShinyHunters evadió reglas de WAF (firewall de aplicaciones web) que bloqueaban la ruta /PSEMHUB/. Para lograrlo, codificó un solo carácter y solicitó /%50SEMHUB/. Muchas reglas comparan el texto literal de la ruta, mientras el servidor PeopleSoft la decodifica y responde con normalidad.
Las acciones recomendadas por Oracle y Mandiant son claras:
- Aplicar el parche. Instale la corrección publicada en la alerta de seguridad de Oracle y mantenga una versión soportada de PeopleTools. Mandiant advierte que el bloqueo de rutas en el WAF no reemplaza el parche.
- Si no puede parchear todavía. Deshabilite el servicio Environment Management Hub en instalaciones con varios servidores. En instalaciones de un solo servidor, elimine la aplicación PSEMHUB. Restringir estos accesos administrativos no afecta las sesiones normales de los usuarios.
- Si sospecha un compromiso. Trate como comprometido cualquier servidor con web shell y preserve la evidencia. Rote todas las credenciales accesibles desde la capa de PeopleSoft. ShinyHunters roba datos y luego exige pagos, así que prepárese para un intento de extorsión.
Aplicar el parche cierra la puerta, pero no expulsa a un atacante que ya entró. Ni Oracle ni Mandiant garantizan que la actualización elimine accesos previos.
Qué significa para tu empresa: Si su organización usa PeopleSoft, confirme esta semana la versión de PeopleTools y la aplicación del parche de junio. Revise los registros desde mayo en busca de peticiones a PSEMHUB, incluidas variantes codificadas como /%50SEMHUB/. Busque también archivos nuevos en los directorios de la aplicación. Este tipo de intrusión silenciosa es la que un SOC con monitoreo 24/7 detecta a tiempo, al correlacionar registros de servidores, WAF y endpoints antes de que el robo de datos se convierta en extorsión.
Fuente original: The Hacker News — ver artículo →