ShinyHunters sfruttano una vulnerabilità critica in Oracle PeopleSoft: allerta per diversi settori
In Breve
- Chi sono gli ShinyHunters?
- Un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.
- Qual è la vulnerabilità sfruttata?
- Una vulnerabilità zero-day nel servlet PSEMHUB di Oracle PeopleSoft.
- Quali settori sono stati compromessi?
- Tecnologia, sanità, agricoltura, trasporti e pubblica amministrazione.
Il gruppo di hacker noto come ShinyHunters ha recentemente riattivato i suoi attacchi sfruttando una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa falla, che consente l’esecuzione remota di codice grazie a una vulnerabilità di deserializzazione insicura di oggetti Java, ha già causato compromissioni in diversi settori.
La vulnerabilità è stata identificata con l’identificativo CVE-2026-35273 e ha ricevuto un punteggio di criticità di 9,8. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62. Tuttavia, gli attaccanti sono riusciti a bypassare le mitigazioni di sicurezza implementate, ampliando così il loro raggio d’azione.
Il metodo utilizzato da ShinyHunters per aggirare le regole del Web Application Firewall (WAF) è particolarmente ingegnoso: hanno codificato un singolo carattere nel percorso della richiesta, sostituendo /PSEMHUB/ con <code/%50SEMHUB/. Questo ha permesso loro di accedere a endpoint che si pensavano protetti, in quanto molte regole WAF confrontano il percorso letterale prima della decodifica.
In questa nuova ondata di attacchi, gli obiettivi non si limitano più al solo settore dell’istruzione superiore. Sono stati segnalati compromessi anche in ambiti come la tecnologia, i servizi IT, la sanità, l’agricoltura, i trasporti e la pubblica amministrazione. Le attività malevole includono l’installazione di web shell, il furto di credenziali e l’esfiltrazione di dati sensibili, come informazioni relative alle risorse umane e alle paghe, utilizzate per estorsioni.
Nonostante il bypass delle mitigazioni WAF, la correzione ufficiale di Oracle rimane efficace contro la vulnerabilità alla radice. Pertanto, è fondamentale che le organizzazioni interessate applicano immediatamente la patch per CVE-2026-35273. Le raccomandazioni includono:
- Disabilitare il servizio Environment Management Hub in configurazioni a più server.
- Rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
- Analizzare i log di accesso PIA WebLogic per identificare richieste a
/PSEMHUBe varianti percent-encodate. - Ispezionare la cartella
/webserv/applications/peoplesoft/PSEMHUB.war/per file non previsti. - Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
- Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.
La situazione attuale evidenzia l’importanza di mantenere aggiornati i sistemi e di adottare misure di sicurezza proattive per prevenire attacchi futuri. Con l’evoluzione delle tecniche di attacco, le organizzazioni devono rimanere vigili e pronte a rispondere a minacce emergenti.
