ShinyHunters: Nuova ondata di attacchi sfrutta vulnerabilità in Oracle PeopleSoft

In Breve

Chi sono ShinyHunters?

ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.

Qual è la vulnerabilità sfruttata?

La vulnerabilità è una falla zero-day nel servlet Environment Management Hub di Oracle PeopleSoft.

Quali settori sono stati compromessi?

I settori compromessi includono tecnologia, sanità, agricoltura e pubblica amministrazione.

Il gruppo di hacker noto come ShinyHunters ha recentemente riattivato i suoi attacchi, riuscendo ad aggirare le mitigazioni di sicurezza e sfruttando una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa falla, identificata come CVE-2026-35273, presenta un punteggio di criticità di 9,8 e consente l’esecuzione remota di codice grazie a una vulnerabilità di deserializzazione insicura di oggetti Java.

In precedenza, questa vulnerabilità era stata utilizzata per distribuire web shell e per eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62. Tuttavia, il gruppo ShinyHunters ha trovato un modo per bypassare le regole del Web Application Firewall (WAF), codificando un singolo carattere nel percorso della richiesta, richiedendo /%50SEMHUB/ invece di /PSEMHUB/.

Questa tecnica ha permesso agli attaccanti di accedere a endpoint ritenuti mitigati, poiché molte regole WAF e reverse proxy confrontano il percorso letterale prima della decodifica. Di conseguenza, il server applicativo decodifica la richiesta e la inoltra al servlet vulnerabile.

La nuova ondata di attacchi non si limita più al settore dell’istruzione superiore. Sono stati registrati compromessi anche in ambiti come tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le tecniche utilizzate includono l’installazione di web shell, il furto di credenziali, il movimento laterale all’interno delle reti e l’esfiltrazione di dati sensibili, come informazioni sulle risorse umane e paghe, per fini di estorsione.

Nonostante il bypass delle mitigazioni basate sul WAF, la correzione ufficiale di Oracle rimane efficace nel risolvere la vulnerabilità alla radice. Gli esperti di sicurezza raccomandano di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

È fondamentale che le organizzazioni interessate adottino queste misure per proteggere i propri sistemi e dati sensibili da potenziali attacchi futuri.