Chi sono gli ShinyHunters?

ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.

Qual è la vulnerabilità sfruttata in Oracle PeopleSoft?

La vulnerabilità è una deserializzazione insicura di oggetti Java che permette l'esecuzione remota di codice.

Cosa consiglia Oracle per mitigare il rischio?

Oracle consiglia di applicare la patch CVE-2026-35273 e disabilitare il servizio Environment Management Hub.

Vulnerabilità Oracle PeopleSoft: attacco ShinyHunters in crescita

In Breve

Chi sono gli ShinyHunters?: ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.
Qual è la vulnerabilità sfruttata in Oracle PeopleSoft?: La vulnerabilità è una deserializzazione insicura di oggetti Java che permette l'esecuzione remota di codice.
Cosa consiglia Oracle per mitigare il rischio?: Oracle consiglia di applicare la patch CVE-2026-35273 e disabilitare il servizio Environment Management Hub.

Il gruppo di hacker noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni implementate da Oracle, riprendendo così lo sfruttamento di una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo attacco ha portato alla compromissione di decine di sistemi in vari settori, ampliando la portata delle loro operazioni.

La vulnerabilità in questione è una vulnerabilità di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In precedenza, questa falla era stata utilizzata per distribuire web shell e per eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273, con un punteggio di criticità pari a 9,8.

Il gruppo ShinyHunters ha eluso le regole del Web Application Firewall (WAF) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Invece di richiedere /PSEMHUB/, hanno utilizzato <code/%50SEMHUB/. Molti WAF e reverse proxy confrontano il percorso letterale prima della decodifica, mentre il server applicativo decodifica la richiesta e la inoltra al servlet vulnerabile, consentendo l’accesso a endpoint ritenuti mitigati.

Questa nuova ondata di attacchi non si limita più al settore dell’istruzione superiore; sono stati segnalati compromessi anche in ambito tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Gli attaccanti hanno installato web shell, rubato credenziali, effettuato movimento laterale e esfiltrato dati sensibili, tra cui informazioni sulle risorse umane e stipendi, per finalità di estorsione.

È importante notare che la correzione ufficiale di Oracle rimane efficace. Il bypass riguarda solo le mitigazioni basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Pertanto, si raccomanda di:

Applicare immediatamente la patch Oracle per CVE-2026-35273.
Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate.
Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.