ShinyHunters e la vulnerabilità zero-day in Oracle PeopleSoft: un allerta per le aziende italiane

Il gruppo di hacker noto come ShinyHunters ha recentemente trovato un modo per aggirare le mitigazioni di sicurezza implementate da Oracle, riattivando gli attacchi a una vulnerabilità zero-day nel servlet Environment Management Hub (PSEMHUB) di Oracle PeopleSoft. Questo exploit ha già compromesso decine di sistemi in vari settori, ampliando la portata degli attacchi.

La vulnerabilità, identificata con il codice CVE-2026-35273 e con un punteggio di criticità di 9,8, è una falla di deserializzazione insicura di oggetti Java che consente l’esecuzione remota di codice. Oracle aveva rilasciato una correzione il 10 giugno 2026, aggiornando il prodotto alle versioni 8.61 e 8.62.

Il metodo utilizzato da ShinyHunters per bypassare le regole del Web Application Firewall (WAF) è stato innovativo: hanno codificato un singolo carattere nel percorso della richiesta, sostituendo /PSEMHUB/ con <code/%50SEMHUB/. Questo approccio ha permesso loro di accedere a endpoint ritenuti mitigati, poiché molte regole WAF e reverse proxy confrontano il percorso letterale prima della decodifica.

In questa nuova ondata di attacchi, gli obiettivi non si limitano più al settore dell’istruzione superiore. Sono stati registrati compromessi in ambiti come tecnologia, servizi IT, sanità, agricoltura, trasporti e pubblica amministrazione. Le conseguenze di questi attacchi includono l’installazione di web shell, il furto di credenziali e l’esfiltrazione di dati sensibili, come informazioni sulle risorse umane e sulle paghe, utilizzati per scopi di estorsione.

Nonostante il rilascio della correzione ufficiale, è fondamentale che le aziende adottino misure immediate per proteggere i propri sistemi. Si raccomanda di:

• Applicare immediatamente la patch Oracle per CVE-2026-35273.
• Disabilitare il servizio Environment Management Hub in configurazioni a più server o rimuovere l’applicazione PSEMHUB in configurazioni a server singolo.
• Analizzare i log di accesso PIA WebLogic per cercare richieste a /PSEMHUB e le relative varianti percent-encodate.
• Ispezionare la cartella /webserv/applications/peoplesoft/PSEMHUB.war/ per file non previsti.
• Ruotare tutte le credenziali accessibili dall’account di servizio dell’applicazione PeopleSoft.
• Monitorare il traffico in uscita dai sistemi PeopleSoft verso gli indicatori di rete segnalati dagli analisti di sicurezza.

Con la crescente sofisticazione degli attacchi informatici, è cruciale che le aziende italiane rimangano vigili e proattive nella protezione delle proprie infrastrutture IT.