In Breve
- Chi sono ShinyHunters?
- ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.
- Qual è la vulnerabilità sfruttata?
- La vulnerabilità è una deserializzazione insicura di oggetti Java in Oracle PeopleSoft.
- Cosa fare per proteggersi?
- Applicare la patch Oracle per CVE-2026-35273 e monitorare i sistemi.
ShinyHunters Sfruttano una Falla Critica in Oracle PeopleSoft: Rischi e Raccomandazioni
Il gruppo criminale noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza implementate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo ha portato a un ampliamento degli attacchi, compromettendo decine di sistemi in vari settori.
La Vulnerabilità e il Suo Impatto
La falla in questione è una vulnerabilità di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In passato, questa vulnerabilità era stata sfruttata per distribuire web shell o eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273 con un punteggio di criticità di 9,8.
Come ShinyHunters Ha Aggirato le Mitigazioni
Il gruppo ha eluso le regole del Web Application Firewall (WAF) basate su stringhe, codificando un singolo carattere nel percorso della richiesta. Invece di utilizzare /PSEMHUB/, gli attaccanti hanno richiesto <code/%50SEMHUB/. Questo approccio ha permesso loro di ottenere accesso a endpoint che si pensavano mitigati, poiché molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica.
Settori Colpiti e Tecniche di Attacco
In questa nuova ondata di attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati segnalati compromessi in vari ambiti, tra cui:
- tecnologia
- servizi IT
- sanità
- agricoltura
- trasporti
- pubblica amministrazione
Le tecniche utilizzate includono l’installazione di web shell, il furto di credenziali, il movimento laterale e l’esfiltrazione di dati sensibili, come informazioni HR e paghe, per finalità di estorsione.
Raccomandazioni di Sicurezza
Nonostante la correzione ufficiale rilasciata da Oracle rimanga efficace, il bypass delle mitigazioni riguarda solo le regole WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Si raccomanda pertanto di:
- Applicare immediatamente la patch Oracle per CVE-2026-35273.
- Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
- Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate.
- Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
- Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
- Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.
Adottare queste misure è cruciale per proteggere le infrastrutture e i dati sensibili delle organizzazioni colpite.