ShinyHunters: Nuova ondata di attacchi sfrutta vulnerabilità in Oracle PeopleSoft

Il gruppo criminale noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo ha portato a un ampliamento degli attacchi, compromettendo decine di sistemi in vari settori, tra cui tecnologia, sanità e pubblica amministrazione.

La vulnerabilità e il suo impatto

La falla in questione è una vulnerabilità di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. Questa vulnerabilità era già stata sfruttata in passato per distribuire web shell o eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.

La tecnica di attacco

Il gruppo ShinyHunters ha aggirato le regole del Web Application Firewall (WAF) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Invece di utilizzare /PSEMHUB/, hanno richiesto <code/%50SEMHUB/, sfruttando il fatto che molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica. Questo ha permesso al server applicativo di inoltrare la richiesta al servlet vulnerabile, consentendo così l’accesso a endpoint ritenuti mitigati.

Settori colpiti e conseguenze

In questa nuova ondata di attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati rilevati compromessi in diversi ambiti, tra cui:

• tecnologia
• servizi IT
• sanità
• agricoltura
• trasporti
• pubblica amministrazione

Le conseguenze di questi attacchi includono l’installazione di web shell, il furto di credenziali, il movimento laterale e l’esfiltrazione di dati sensibili, come informazioni relative a risorse umane e paghe, utilizzati per finalità di estorsione.

Raccomandazioni di sicurezza

Nonostante la correzione ufficiale rilasciata da Oracle rimanga efficace, il bypass delle mitigazioni WAF rappresenta un serio rischio. Si raccomanda di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server.
• Rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

È fondamentale che le organizzazioni interessate prendano misure immediate per proteggere i propri sistemi e dati.