Los atacantes del grupo ShinyHunters están explotando masivamente una vulnerabilidad crítica ya conocida en Oracle PeopleSoft, identificada como CVE-2026-35273, con una puntuación CVSS de 9.8. Este fallo permite la ejecución remota de código sin autenticación y está siendo utilizado en una campaña global que afecta a diversos sectores, incluyendo educación superior, tecnología, servicios de TI, salud, agricultura, transporte y entidades gubernamentales.
Lo más preocupante de esta nueva ola de ataques es la sofisticada técnica utilizada para evadir los Web Application Firewalls (WAF), primera línea de defensa para muchas aplicaciones. Los cibercriminales logran el bypass codificando un solo carácter de la ruta del URL (por ejemplo, usando “/%50SEMHUB/” en lugar de “/PSEMHUB/”), lo que confunde a algunos WAFs pero es interpretado correctamente por el servidor de PeopleSoft. Una vez explotada la deserialización Java en el servlet PSEMHUB, los atacantes despliegan “web shells” (scripts maliciosos en el servidor) para ejecutar comandos, cargar archivos y establecer persistencia, llegando a desplegar el backdoor “SIDEEYE” que roba credenciales y permite control total del sistema, incluso con privilegios de root o SYSTEM.
Para mitigar esta amenaza, es crucial aplicar inmediatamente los parches de seguridad para CVE-2026-35273. Adicionalmente, se recomienda deshabilitar el servicio Environment Management Hub (EMHub) en configuraciones multi-servidor, o eliminar completamente la aplicación PSEMHUB en configuraciones de un solo servidor si no es estrictamente necesaria. Es imperativo revisar los registros de acceso de WebLogic en busca de peticiones a “/PSEMHUB/” o sus variantes codificadas, inspeccionar el directorio “PSEMHUB.war” en busca de “web shells” o artefactos maliciosos, y rotar las credenciales asociadas a las cuentas de servicio de PeopleSoft.
Qué significa para tu empresa: Este incidente subraya que incluso con la implementación de un WAF para aplicaciones, las amenazas pueden evolucionar para evadir estas defensas. Es fundamental adoptar una estrategia de seguridad por capas, donde la detección temprana y la respuesta a incidentes son clave. Nuestros servicios de SOC con monitoreo 24/7, complementados con la analítica de logs avanzada y la protección de endpoints EDR/XDR, permiten identificar y neutralizar actividades maliciosas como las “web shells” y los “backdoors” desplegados en este ataque, incluso después de que la primera línea de defensa haya sido superada, asegurando una postura de seguridad robusta para sus aplicaciones críticas.
Fuente original: The Hacker News — ver artículo →