Oracle ha pubblicato un avviso di sicurezza straordinario per una vulnerabilità zero-day critica in PeopleSoft, identificata come CVE-2026-35273, con punteggio CVSS di 9.8. La falla risiede in PeopleTools, il framework alla base delle applicazioni PeopleSoft, ed è sfruttabile da remoto senza autenticazione: un attaccante può ottenere l'esecuzione di codice arbitrario sui sistemi esposti.
Le versioni interessate sono PeopleTools 8.61 e 8.62. Oracle ha rilasciato mitigazioni di emergenza, mentre la patch definitiva è attesa nei prossimi giorni. Possono essere coinvolti anche i clienti delle applicazioni PeopleSoft Enterprise.
ShinyHunters dietro gli attacchi
Sebbene Oracle non abbia confermato ufficialmente lo sfruttamento attivo, la divulgazione arriva dopo che è emersa una vasta campagna di furto dati attribuita al gruppo di estorsione ShinyHunters, già responsabile delle violazioni legate a Snowflake, Salesforce e, più di recente, alla piattaforma scolastica Canvas di Instructure.
Il gruppo ha rivendicato gli attacchi, dichiarando di aver usato una catena di vulnerabilità vecchie e nuove ("gadget chain") per compromettere le istanze PeopleSoft. Secondo quanto riferito, i dati sarebbero stati sottratti da circa 300 istanze appartenenti a più di 100 organizzazioni, con richieste di riscatto recapitate tramite note lasciate sui sistemi violati.
Nel mirino il settore istruzione
Mandiant, che ha confermato lo sfruttamento della falla come zero-day, ha notificato oltre 100 organizzazioni in tutto il mondo con endpoint potenzialmente vulnerabili: la maggior parte si trova negli Stati Uniti e il 68% opera nell'istruzione superiore. Università e atenei sono ormai un bersaglio ricorrente per ShinyHunters, come già dimostrato dal caso Canvas.
Gli attaccanti hanno condotto attività di ricognizione sulle istanze compromesse, mappato le configurazioni PeopleSoft e WebLogic e usato script per muoversi lateralmente nelle reti interne sfruttando credenziali rubate o cablate nel codice. Per le comunicazioni con l'infrastruttura di comando hanno impiegato agenti MeshCentral personalizzati, mascherati da servizi Microsoft Azure. I dati esfiltrati venivano compressi e inviati a un server riconducibile al sito di leak pubblico del gruppo.
Cosa fare subito
Le organizzazioni che usano PeopleSoft dovrebbero applicare immediatamente le mitigazioni di Oracle e limitare l'esposizione su Internet degli endpoint vulnerabili. Mandiant consiglia inoltre di controllare i log alla ricerca di richieste sospette verso i percorsi /PSEMHUB/ e /PSIGW/HttpListeningConnector e di ispezionare i server per individuare eventuali webshell .jsp nelle directory WebLogic, file non autorizzati nelle cartelle di transazione PSEMHUB e file XML modificati di recente, possibile segnale di meccanismi di persistenza pronti a riattivarsi dopo un riavvio.
La vicenda conferma una tendenza ormai consolidata: i gruppi di estorsione puntano sempre più sulle piattaforme enterprise che concentrano grandi volumi di dati, dove una singola vulnerabilità può aprire le porte a centinaia di organizzazioni in un colpo solo.
