ShinyHunters Sfruttano una Vulnerabilità Critica in Oracle PeopleSoft: Rischi e Raccomandazioni
Il gruppo ShinyHunters ha ripreso a sfruttare una vulnerabilità critica in Oracle PeopleSoft, compromettendo sistemi in vari settori. Ecco cosa sapere e come proteggersi.
In Breve
- Chi sono i ShinyHunters?
- ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.
- Qual è la vulnerabilità sfruttata?
- La vulnerabilità è una deserializzazione insicura di oggetti Java in Oracle PeopleSoft.
- Quali settori sono stati compromessi?
- Sono stati compromessi settori come tecnologia, sanità, agricoltura e pubblica amministrazione.
ShinyHunters Sfruttano una Vulnerabilità Critica in Oracle PeopleSoft: Rischi e Raccomandazioni
Il gruppo di hacker noto come ShinyHunters ha recentemente trovato un modo per aggirare le misure di sicurezza implementate e ha ripreso a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo attacco ha portato alla compromissione di decine di sistemi in vari settori, ampliando notevolmente il raggio d’azione degli aggressori.
La Vulnerabilità e il Suo Impatto
La falla in questione è una vulnerabilità di deserializzazione insicura di oggetti Java, che consente l’esecuzione remota di codice. In passato, questa vulnerabilità era stata sfruttata per distribuire web shell o eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando al problema l’identificativo CVE-2026-35273, con un punteggio di criticità di 9,8.
Strategie di Attacco degli Hacker
Il gruppo ShinyHunters ha dimostrato di avere abilità avanzate nel bypassare le regole WAF (Web Application Firewall) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Hanno richiesto /%50SEMHUB/ anziché /PSEMHUB/, sfruttando il fatto che molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica. Questo ha permesso loro di accedere a endpoint considerati mitigati.
Settori Colpiti e Conseguenze
In questa nuova ondata di attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati rilevati compromessi anche in ambito tecnologico, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le conseguenze di questi attacchi includono l’installazione di web shell, il furto di credenziali, il movimento laterale all’interno delle reti compromesse e l’esfiltrazione di dati sensibili, come informazioni relative a risorse umane e stipendi, utilizzati per finalità di estorsione.
Raccomandazioni per la Sicurezza
Nonostante la correzione ufficiale rilasciata da Oracle rimanga efficace, il bypass delle mitigazioni WAF rappresenta un rischio significativo. Pertanto, si raccomanda di:
- Applicare immediatamente la patch Oracle per CVE-2026-35273.
- Disabilitare il servizio Environment Management Hub in configurazioni a più server.
- Rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
- Analizzare i log di accesso PIA WebLogic alla ricerca di richieste a
/PSEMHUBe relative varianti percent-encodate. - Ispezionare la cartella
/webserv/applications/peoplesoft/PSEMHUB.war/per file non previsti. - Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
- Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.
Conclusione
Il gruppo ShinyHunters ha dimostrato ancora una volta la propria capacità di sfruttare vulnerabilità critiche per compromettere sistemi in vari settori. È fondamentale che le organizzazioni interessate adottino misure preventive e aggiornamenti tempestivi per proteggere i propri dati e sistemi.
