In Breve
- Chi sono i ShinyHunters?
- ShinyHunters è un gruppo di hacker noto per sfruttare vulnerabilità nei sistemi informatici.
- Qual è la vulnerabilità sfruttata da ShinyHunters?
- Hanno sfruttato una vulnerabilità zero-day in Oracle PeopleSoft, identificata come CVE-2026-35273.
- Quali settori sono stati compromessi?
- I settori compromessi includono tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione.
Il gruppo hacker noto come ShinyHunters ha recentemente riacceso l’allerta nel settore della sicurezza informatica, trovando un modo per aggirare le mitigazioni di sicurezza implementate e riprendendo a sfruttare una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft.
Questa vulnerabilità, identificata come CVE-2026-35273, è una falla di deserializzazione insicura di oggetti Java che consente l’esecuzione remota di codice. In precedenza, era stata utilizzata per distribuire web shell o eseguire comandi fileless. Oracle ha rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62 e assegnando un punteggio di criticità di 9,8.
Il gruppo ShinyHunters ha dimostrato di essere in grado di bypassare le regole del Web Application Firewall (WAF) basate su stringa, codificando un singolo carattere nel percorso della richiesta. Questo ha permesso loro di inviare richieste come /%50SEMHUB/ invece di /PSEMHUB/. Molte regole di WAF e reverse proxy confrontano il percorso letterale prima della decodifica, mentre il server applicativo decodifica la richiesta e la inoltra al servlet vulnerabile, consentendo così l’accesso a endpoint che si pensavano protetti.
Questa nuova ondata di attacchi non si limita più al settore dell’istruzione superiore; sono stati segnalati compromessi anche in ambiti come tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Gli attacchi hanno portato all’installazione di web shell, furto di credenziali, movimento laterale e esfiltrazione di dati sensibili, incluse informazioni relative a risorse umane e paghe, utilizzate per scopi di estorsione.
Nonostante il rilascio della correzione ufficiale, il bypass delle mitigazioni WAF rappresenta una seria minaccia. È fondamentale che le organizzazioni applicano immediatamente la patch Oracle per CVE-2026-35273. Inoltre, si raccomanda di disabilitare il servizio Environment Management Hub in configurazioni a più server o di rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
Le aziende dovrebbero anche analizzare i log di accesso PIA WebLogic alla ricerca di richieste a /PSEMHUB e relative varianti percent-encodate. È consigliabile ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti e ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft. Infine, è essenziale monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.
