Introduzione
La vulnerabilita' CVE-2026-35273 e' stata scoperta nel componente Updates Environment Management di PeopleSoft Enterprise PeopleTools. Oracle ha pubblicato un avviso di sicurezza e un patch out-of-band il 10 giugno 2026, sottolineando l'urgenza della correzione. La vulnerabilita' e' stata segnalata a Oracle attraverso l'iniziativa Zero Day di TrendAI e ha un punteggio CVSSv3.1 di 9.8.
Dettagli dell'attacco
Secondo un rapporto di Mandiant, la vulnerabilita' e' stata sfruttata in liberta' dal gruppo di attaccanti noto come ShinyHunters (UNC6240) tra il 27 maggio e il 9 giugno 2026, prima che Oracle pubblicasse l'avviso di sicurezza. Gli attaccanti hanno colpito soprattutto universita' e college, con il 68% delle organizzazioni bersaglio che appartengono al settore dell'istruzione superiore. I dati rubati sono stati pubblicati sul sito di leak di ShinyHunters il 9 giugno 2026.
Indicatori di compromissione
Gli indicatori di compromissione includono richieste HTTP POST ai endpoint /PSEMHUB/hub e /PSIGW/HttpListeningConnector da indirizzi IP esterni, nonche' la presenza di file e directory non autorizzati sotto il percorso PSEMHUB. Inoltre, gli attaccanti hanno utilizzato un agente di gestione remota MeshCentral per eseguire azioni di post-exploitation.
Mitigazione
Per mitigare la vulnerabilita', le organizzazioni che utilizzano PeopleTools versioni 8.61 o 8.62 dovrebbero applicare il patch di Oracle il piu' presto possibile. Inoltre, dovrebbero implementare controlli di autenticazione robusti e monitorare gli indicatori di compromissione per prevenire future exploitazioni.