ShinyHunters: Nuova ondata di attacchi su Oracle PeopleSoft

Il gruppo criminale noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza implementate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa nuova ondata di attacchi ha portato alla compromissione di decine di sistemi in vari settori, ampliando significativamente il raggio d’azione degli aggressori.

La vulnerabilità in questione è una deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In precedenza, questa falla era stata sfruttata per distribuire web shell e per eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.

Il metodo utilizzato dagli attaccanti per bypassare le regole del Web Application Firewall (WAF) è particolarmente ingegnoso. Codificando un singolo carattere nel percorso della richiesta, gli aggressori hanno richiesto /%50SEMHUB/ invece di /PSEMHUB/. Questo approccio ha permesso loro di eludere molte regole di WAF e reverse proxy, che confrontano il percorso letterale prima della decodifica. Una volta che il server applicativo decodifica la richiesta e la inoltra al servlet vulnerabile, gli attaccanti riescono ad accedere a endpoint ritenuti mitigati.

In questa nuova ondata, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati rilevati compromessi in ambiti come tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le tecniche utilizzate includono l’installazione di web shell, il furto di credenziali, il movimento laterale all’interno delle reti e l’esfiltrazione di dati sensibili, come informazioni relative alle risorse umane e alle paghe, per finalità di estorsione.

Nonostante la gravità della situazione, la correzione ufficiale rilasciata da Oracle rimane efficace. È importante notare che il bypass riguarda solo le mitigazioni basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Pertanto, si raccomanda di seguire alcune misure di sicurezza immediatamente:

• Applicare la patch Oracle per CVE-2026-35273 senza indugi;
• Disabilitare il servizio Environment Management Hub in configurazioni a più server;
• Rimuovere l’applicazione PSEMHUB in configurazioni a server singolo;
• Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate;
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti;
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft;
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

La situazione rimane critica e richiede attenzione costante da parte delle organizzazioni colpite per prevenire ulteriori compromissioni.