ShinyHunters ha modificato gli attacchi contro Oracle PeopleSoft per aggirare alcune regole dei web application firewall pensate per bloccare la vulnerabilità CVE-2026-35273. Secondo Google Mandiant, la tecnica consente al gruppo di raggiungere sistemi non aggiornati che confidavano nel filtraggio del percorso vulnerabile come misura temporanea.
Il cambiamento riguarda il modo in cui viene scritto l’indirizzo della richiesta: alcuni WAF confrontano il percorso prima di decodificarlo, mentre Oracle WebLogic lo interpreta correttamente e inoltra la richiesta al componente esposto. Google segnala una nuova ondata di compromissioni con furto di dati e web shell distribuite in diversi settori.
Come funziona l’aggiramento del filtro
La falla CVE-2026-35273, corretta da Oracle l’11 giugno, permette l’esecuzione remota di codice senza autenticazione. Dopo le prime segnalazioni di sfruttamento, Mandiant aveva indicato due misure immediate per chi non potesse applicare subito l’aggiornamento: disabilitare l’Environment Management Hub oppure bloccare dall’esterno l’endpoint /PSEMHUB/*.
ShinyHunters, che Google traccia come UNC6240, starebbe ora sfruttando una differenza nel trattamento degli URL. Invece di richiamare letteralmente /PSEMHUB/, gli attaccanti usano una versione con il carattere iniziale codificato, come /%50SEMHUB/: %50 corrisponde alla lettera P.
Il problema, spiega Mandiant, è che molti WAF e reverse proxy eseguono il confronto sulla stringa ricevuta, senza prima decodificarla. Di conseguenza, una regola costruita soltanto per intercettare il percorso in forma letterale può non riconoscere la variante codificata. WebLogic, al contrario, decodifica il carattere e instrada la richiesta verso l’endpoint vulnerabile.
Google avverte inoltre che quella osservata non sarebbe necessariamente l’unica variante: il gruppo potrebbe alternare codifiche percentuali, maiuscole e minuscole o altre modifiche del percorso. Per questo il filtraggio del WAF non viene considerato una protezione sufficiente al posto della correzione di sicurezza.
Dalla verifica silenziosa alle web shell
Prima di tentare lo sfruttamento completo, gli operatori inviano in genere da cinque a 15 richieste POST verso /%50SEMHUB/hub, con oggetti Java serializzati. Sui server vulnerabili, queste richieste restituiscono informazioni sul sistema operativo senza scrivere file né interrompere il servizio: servono quindi a capire se il bersaglio possa essere colpito senza attirare attenzione.
Una volta confermata l’esposizione, gli attaccanti possono eseguire comandi in memoria oppure installare web shell JSP. Google ha osservato la shell x.jsp per l’esecuzione dei comandi e le varianti u.jsp e u2.jsp per il caricamento di file più grandi.
Nei sistemi Windows compromessi, secondo il rapporto, ShinyHunters ha distribuito un eseguibile chiamato Ple64.exe, presentato come installer firmato del lettore Light Alloy ma associato al backdoor SIDEEYE. Il malware viene descritto come uno strumento per sottrarre credenziali, gestire processi e file, creare shell inverse interattive e usare funzionalità di reverse proxy.
Gli attaccanti avrebbero anche caricato Neo-reGeorg, toolkit open source per incanalare traffico SOCKS5 attraverso connessioni HTTP e HTTPS, con l’obiettivo di usare il server PeopleSoft compromesso come punto di passaggio verso la rete interna. Su sistemi Linux Mandiant ha inoltre rilevato l’impiego di MeshAgent, software legittimo di gestione remota, per mantenere l’accesso.
I settori coinvolti e cosa controllare
Google riferisce di web shell installate su decine di sistemi nel mondo, in organizzazioni dell’istruzione superiore, della tecnologia, dei servizi IT, della sanità, dell’agricoltura, dei trasporti e della pubblica amministrazione. Il dato descrive sistemi compromessi osservati da Mandiant, non un elenco completo delle vittime.
La raccomandazione principale è installare l’ultimo aggiornamento di sicurezza Oracle per CVE-2026-35273. Mandiant invita inoltre a esaminare i log di accesso WebLogic, cercando sia le richieste a /PSEMHUB/ sia le forme codificate, inclusa /%50SEMHUB/, per individuare possibili segnali di sfruttamento.
Le rivendicazioni sul caso FBI
La nuova attività arriva dopo precedenti dichiarazioni di ShinyHunters su un presunto accesso a sistemi FBI tramite una vulnerabilità PeopleSoft. Il gruppo ha detto a BleepingComputer di aver usato il bypass WAF contro FBI Jobs e continua a sostenere di aver sfruttato anche una nuova falla sconosciuta nello stesso componente PSEMHUB.
Quelle affermazioni non risultavano però verificate in modo indipendente. L’FBI aveva confermato di indagare su attività non autorizzate che coinvolgevano FBIjobs.gov, senza confermare una violazione dei propri sistemi o il furto di dati.
FAQ
Che cos’è CVE-2026-35273?
È una vulnerabilità di Oracle PeopleSoft che, secondo Oracle, consente l’esecuzione remota di codice senza autenticazione. Oracle ha pubblicato la correzione l’11 giugno.
Perché una regola WAF può non bastare?
Perché può cercare solo il percorso scritto in forma letterale. Se il proxy non decodifica l’URL prima del controllo, una variante codificata può non corrispondere alla regola, mentre WebLogic la interpreta e la inoltra all’endpoint.
Quali sono gli indicatori citati da Mandiant?
Tra gli elementi da verificare figurano richieste ai percorsi PSEMHUB, comprese le varianti codificate, e la presenza di file JSP come x.jsp, u.jsp, u2.jsp, tunnel.jsp e tunnel.jspx.
Considerazioni finali
Questo caso mostra con chiarezza il limite delle mitigazioni basate soltanto su una corrispondenza testuale nel traffico web. Bloccare un percorso può essere utile nell’emergenza, ma non sostituisce la correzione quando il componente a valle interpreta l’URL in modo diverso dal filtro che dovrebbe proteggerlo.
Il dato più rilevante è che l’aggiramento non resta teorico: Google lo collega a web shell, backdoor e possibili movimenti laterali in reti di organizzazioni diverse. Per i server PeopleSoft esposti, l’aggiornamento di sicurezza e la verifica dei log restano quindi il punto decisivo.