ShinyHunters Sfruttano una Falla Critica in Oracle PeopleSoft: Nuove Minacce ai Sistemi Aziendali

Il gruppo criminale noto come ShinyHunters ha recentemente riattivato le sue operazioni, sfruttando una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa falla, che consente l’esecuzione remota di codice attraverso una vulnerabilità di deserializzazione insicura di oggetti Java, ha portato a compromissioni in numerosi settori, ampliando la portata degli attacchi oltre l’istruzione superiore.

In precedenza, la vulnerabilità era stata utilizzata per distribuire web shell e per eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando all’incidente l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.

La strategia di attacco di ShinyHunters ha evoluto, riuscendo a bypassare le regole del Web Application Firewall (WAF) attraverso la codifica di un singolo carattere nel percorso della richiesta, utilizzando /%50SEMHUB/ al posto di /PSEMHUB/. Questo metodo ha consentito l’accesso a endpoint che si pensavano protetti, poiché molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica.

Gli attacchi recenti hanno colpito non solo il settore dell’istruzione, ma anche ambiti come tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le conseguenze includono l’installazione di web shell, furto di credenziali, movimento laterale e esfiltrazione di dati sensibili, come informazioni sulle risorse umane e paghe, utilizzati per finalità di estorsione.

Nonostante la correzione ufficiale di Oracle rimanga efficace, il bypass delle mitigazioni WAF rappresenta una seria minaccia. È fondamentale che le organizzazioni interessate adottino misure immediate per proteggere i propri sistemi. Si raccomanda di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic per rilevare richieste a /PSEMHUB e varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso indicatori di rete segnalati dagli analisti di sicurezza.

In conclusione, la situazione attuale richiede un’attenzione costante e una risposta rapida da parte delle organizzazioni per proteggere i propri dati e sistemi da attacchi sempre più sofisticati.