El análisis técnico que Zero Day Initiative (ZDI) publicó el 27 de octubre de 2026 desglosa CVE-2026-35273 en tres fallos encadenados en Oracle PeopleSoft: una falsificación de solicitudes del lado del servidor (SSRF) en PeopleSoft Integration Gateway (PSIGW) que puede alcanzar PeopleSoft Environment Management Hub (PSEMHUB), y dos rutas alternativas de ejecución remota de código (RCE).
Oracle había publicado el aviso de seguridad para CVE-2026-35273 el 10 de junio de 2026. Su matriz asigna a la vulnerabilidad una puntuación de 9,8 en CVSS 3.1 y señala que puede explotarse por red, sin credenciales ni interacción del usuario, con un impacto alto en la confidencialidad, integridad y disponibilidad.
Un CVE público y tres etiquetas de ZDI
Oracle identifica el aviso con un único CVE: CVE-2026-35273. ZDI describe tres fallos distintos bajo las etiquetas de seguimiento ZDI-CAN-31816, ZDI-CAN-31818 y ZDI-CAN-31817. Son identificadores internos de ZDI, no CVE públicos separados; la organización afirma que coordina con Oracle la asignación de CVE distintos.
Los fallos afectan a dos aplicaciones de Oracle WebLogic. PSIGW intercambia mensajes con sistemas remotos; PSEMHUB es un hub interno cuya función incluye restringir el acceso a clientes de confianza.
Cómo la SSRF alcanza PSEMHUB
En la cadena descrita por ZDI, el primer fallo está en HttpTargetConnector, dentro de PSIGW. Una SSRF permite que una aplicación haga solicitudes a una dirección elegida por quien la controla; en este caso, el conector acepta la URL de destino y puede reenviar el contenido de la solicitud.
El salto llega a PSEMHUB porque su configuración predeterminada de hosts permitidos confía en 127.0.0.1, la dirección de loopback que identifica al propio equipo. La solicitud reenviada desde PSIGW puede llegar al hub como tráfico local y superar la comprobación de cliente de PSEMHUB.
Dos rutas alternativas de ejecución de código
Una vez que la solicitud alcanza PSEMHUB, ZDI describe dos fallos distintos que ofrecen vías alternativas de RCE. No son dos pasos consecutivos de una misma ruta:
- Control de ruta de archivo: ExecuteProcessActivityCommand permite escribir entradas de registro, pero el fallo deja que quien envía la solicitud controle tanto el contenido como la ruta absoluta del archivo. ZDI explica que esto puede permitir escribir una web shell y ejecutar código con el contexto de la cuenta de servicio de PeopleSoft.
- Deserialización XML: PSEMHUB lee archivos XML de su directorio de datos de entorno mediante Java XMLDecoder cuando se inicializa HubServlet, por ejemplo, tras reiniciar el servicio o el sistema. Al procesar el XML, Java puede construir y configurar objetos antes de comprobar que el resultado sea del tipo Environment esperado. Según ZDI, el código puede ejecutarse antes de que falle esa conversión.
Versiones de PeopleTools que enumera Oracle
Oracle incluye PeopleSoft Enterprise PeopleTools 8.61 y 8.62 en el aviso. También indica que las versiones anteriores no se probaron y que probablemente estén afectadas; recomienda actualizar a versiones compatibles con su política de soporte.
Oracle ofrece los parches y las mitigaciones de sus alertas para versiones cubiertas por Premier Support o Extended Support. Para consultar las instrucciones de corrección y comprobar el alcance del aviso, puede leerse el aviso de seguridad de Oracle.
Mandiant y Google Threat Intelligence Group atribuyeron a UNC6240, también conocido como ShinyHunters, la explotación de la vulnerabilidad entre el 27 de mayo y el 9 de junio de 2026, antes de que Oracle publicara su aviso.
