In Breve
- Chi sono gli ShinyHunters?
- ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.
- Qual è la vulnerabilità sfruttata?
- La vulnerabilità è una falla di deserializzazione insicura in Oracle PeopleSoft, identificata come CVE-2026-35273.
- Quali settori sono stati colpiti?
- Gli attacchi hanno colpito diversi settori, tra cui tecnologia, sanità e pubblica amministrazione.
Il gruppo di hacker noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza implementate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questa nuova ondata di attacchi ha portato alla compromissione di decine di sistemi in diversi settori, ampliando notevolmente il raggio d’azione degli attaccanti.
La vulnerabilità in questione è una falla di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In precedenza, questa vulnerabilità era stata sfruttata per distribuire web shell o eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando all’incidente l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.
Il metodo di attacco utilizzato da ShinyHunters ha permesso di bypassare le regole del Web Application Firewall (WAF) basate su stringhe. Gli attaccanti hanno codificato un singolo carattere nel percorso della richiesta, sostituendo “/PSEMHUB/” con “/%50SEMHUB/”. Questo approccio ha sfruttato il fatto che molte regole WAF e reverse proxy confrontano il percorso letterale prima della decodifica, mentre il server applicativo decodifica la richiesta e la inoltra al servlet vulnerabile, consentendo l’accesso a endpoint precedentemente considerati mitigati.
In questa nuova fase degli attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati segnalati compromessi anche in ambiti come tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le azioni degli attaccanti includono l’installazione di web shell, il furto di credenziali, il movimento laterale all’interno dei sistemi e l’esfiltrazione di dati sensibili, come informazioni relative a risorse umane e paghe, per scopi di estorsione.
Nonostante il rilascio della correzione ufficiale, è importante notare che il bypass riguarda solo le mitigazioni basate sul WAF e non l’aggiornamento che risolve la vulnerabilità alla radice. Pertanto, si raccomanda di applicare immediatamente la patch Oracle per CVE-2026-35273. Le aziende dovrebbero anche considerare di disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
In aggiunta, è fondamentale analizzare i log di accesso PIA WebLogic per individuare richieste a “/PSEMHUB” e le relative varianti percent-encodate. Le organizzazioni dovrebbero ispezionare la cartella “/webserv/applications/peoplesoft/PSEMHUB.war/” per file non previsti, ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft e monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.
