ShinyHunters ha eludido las medidas de seguridad frente a una vulnerabilidad de Oracle PeopleSoft que ya había explotado y ha reanudado los ataques, según un informe de Mandiant y el Threat Intelligence Group de Google (GTIG). La actividad se ha extendido más allá de la educación superior a organizaciones de tecnología, servicios de TI, salud, agricultura, transporte y administración pública.
La vulnerabilidad CVE-2026-35273 afecta al servlet PeopleSoft Environment Management Hub (PSEMHUB). Se debe a una deserialización insegura de objetos Java y puede permitir la ejecución remota de código. Oracle corrigió la vulnerabilidad el 10 de junio de 2026 en las versiones 8.61 y 8.62. CISA la incorporó a su catálogo Known Exploited Vulnerabilities el 12 de junio y dio a las agencias federales un plazo de tres días para instalar el parche.
Mandiant y GTIG afirman que los atacantes modificaron su método de explotación para eludir las reglas de los cortafuegos de aplicaciones web (WAF). Codificaron en URL un carácter de la ruta de la solicitud y utilizaron /%50SEMHUB/ en lugar de /PSEMHUB/. El servidor PeopleSoft decodifica la ruta y dirige la solicitud al servlet vulnerable, incluso cuando una regla WAF comprueba la ruta literal antes de decodificarla.
Los investigadores informaron de la presencia de shells web en «decenas de sistemas en todo el mundo». Según ellos, los atacantes usan la vulnerabilidad para mantener el acceso, robar credenciales y extraer datos sensibles, como archivos de recursos humanos o nóminas. La corrección de Oracle sigue solucionando la vulnerabilidad; el método descrito elude las medidas de mitigación, no el parche. Mandiant y GTIG recomiendan aplicar la corrección de seguridad de Oracle. También enumeran otras medidas para las organizaciones afectadas, como pasos específicos según la configuración, revisiones de registros y archivos, renovación de credenciales y supervisión del tráfico saliente.
Comentarios
0Aún no hay comentarios. Escribe el primero.