A vulnerabilidade crítica do Oracle PeopleSoft que o ShinyHunters explora desde maio não é uma única falha, mas três encadeadas, afirmaram nesta semana os pesquisadores que a reportaram.
A Oracle corrigiu as três sob um único identificador, CVE-2026-35273 (do inglês Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades), em junho. A origem do problema é uma falsificação de requisição do lado do servidor (SSRF, do inglês Server-Side Request Forgery), que alcança uma interface interna de gerenciamento porque o PeopleSoft confia por padrão no próprio endereço de loopback. Isso abre caminho para a execução remota de código (RCE, do inglês Remote Code Execution) sem necessidade de login.
A análise é de Bobby Gould, da Zero Day Initiative (ZDI), cuja equipe reportou a falha à Oracle.
Em sua análise, a ZDI afirma que reportou três vulnerabilidades distintas em dois componentes do PeopleSoft e que trabalha com a Oracle para atribuir um CVE separado a cada uma. Até esta semana, porém, o identificador de junho continua sendo o único registrado.
A CVE-2026-35273 afeta as versões 8.61 e 8.62 do PeopleSoft Enterprise PeopleTools, tem pontuação 9,8 no CVSS (Common Vulnerability Scoring System, sistema de pontuação de severidade de vulnerabilidades) e permite que um atacante sem autenticação assuma o controle do servidor pela rede. A Oracle lançou a correção em um alerta de segurança fora do calendário regular, em 10 de junho. A falha consta no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA).
Os invasores já a utilizavam antes da correção. A Mandiant e o Google Threat Intelligence Group (GTIG) atribuem a um grupo que rastreiam como UNC6240, mais conhecido como ShinyHunters, uma campanha que explorou a falha entre 27 de maio e 9 de junho, principalmente contra universidades. Como essa atividade ocorreu antes do alerta da Oracle, de 10 de junho, a falha foi uma zero-day durante todo o período.
Em um acompanhamento de setembro, a Mandiant relatou uma nova onda, maior, que se espalhou para além do setor de educação e atingiu tecnologia, serviços de TI, saúde, agricultura, transporte e governo, com dezenas de sistemas afetados em todo o mundo.
A análise da ZDI explica o que, de fato, a correção única fechou. Dois componentes do PeopleSoft estão envolvidos, ambos executados como aplicações web separadas. O Integration Gateway (PSIGW) troca mensagens com sistemas externos. O Environment Management Hub (PSEMHUB) é uma interface administrativa interna que deveria responder apenas a hosts confiáveis.
A primeira falha é a SSRF no PSIGW. Um atacante envia uma requisição ao conector que fica em escuta e controla tanto o endereço para onde ela é encaminhada quanto todo o conteúdo enviado, segundo a ZDI. O manipulador não verifica se o destino é um alvo legítimo. Isoladamente, isso teria alcance limitado, exceto pelo que pode ser acessado.
Como a cadeia de falhas funciona
O PSEMHUB decide quem é confiável comparando o solicitante com uma lista em um arquivo chamado allowedhosts.properties. Esse arquivo já vem com o endereço de loopback local, 127.0.0.1, incluído na lista. Assim, o atacante direciona a SSRF para 127.0.0.1, a requisição chega como se tivesse partido da própria máquina e a verificação de confiança é aprovada. A interface interna que a Oracle pretendia isolar passa a ser acessível de fora.
A partir daí, a ZDI descreveu duas formas de transformar esse acesso em execução de código. Uma delas abusa de um comando do PSEMHUB destinado a gravar entradas de log: quem faz a chamada controla tanto o conteúdo do arquivo quanto o caminho exato no disco. Assim, o atacante grava um web shell (programa malicioso instalado em servidor web) no diretório da aplicação e executa comandos com a conta de serviço do PeopleSoft.
A outra forma grava um arquivo XML malicioso que o PSEMHUB lê com o XMLDecoder do Java na próxima vez que o serviço for iniciado. Dessa maneira, o código do atacante é executado sem que nenhum web shell precise ser instalado. Esse segundo caminho deixa menos rastros para a detecção convencional.
Segundo a ZDI, a decisão de projeto no centro do problema é que permitir acesso por loopback por padrão torna a verificação de confiança ineficaz assim que a SSRF existe. Isso importa para quem achava que uma regra de firewall já os protegia.
Na onda de setembro, a Mandiant constatou que o ShinyHunters contornava regras de firewall de aplicação web (WAF, do inglês Web Application Firewall) que bloqueavam o caminho /PSEMHUB/ ao codificar um único caractere em URL. Em vez disso, o grupo requisitava /%50SEMHUB/. Muitas regras de WAF comparam o texto simples do caminho, enquanto o servidor do PeopleSoft decodifica a requisição e serve a página.
O que fazer
A correção e as orientações aqui vêm da Oracle e da Mandiant, e não da análise da ZDI, que trata da falha, e não da resposta a ela.
- Aplique a correção. Instale a correção do alerta de segurança da Oracle para a CVE-2026-35273 e mantenha uma versão do PeopleTools com suporte. A Mandiant é explícita ao afirmar que o bloqueio de caminhos no WAF não substitui a correção.
- Se ainda não puder aplicar a correção, desative o serviço Environment Management Hub em configurações com vários servidores ou remova a aplicação PSEMHUB em configurações com servidor único, conforme recomenda o alerta da Oracle. Restringir esses endpoints administrativos não interrompe as sessões normais de usuários.
- Se o sistema puder já ter sido invadido, a Mandiant recomenda tratar qualquer host com web shell como comprometido, preservar as evidências e trocar todas as credenciais acessíveis a partir da camada do PeopleSoft. O ShinyHunters rouba dados e depois exige pagamento, por isso as organizações afetadas devem se preparar para extorsão.
Um ponto que as fontes não esclarecem é se aplicar a correção remove um acesso que o invasor já tenha obtido. O alerta da Oracle não trata do assunto, e a orientação da Mandiant de trocar credenciais e procurar web shells pressupõe que não remove. A correção fecha a porta, mas, por si só, não expulsa quem já está dentro.
