La Zero Day Initiative (ZDI) a détaillé le 27 octobre 2026 trois vulnérabilités liées à CVE-2026-35273 dans Oracle PeopleSoft Enterprise PeopleTools. Son analyse décrit un pivot par falsification de requête côté serveur (SSRF), puis deux voies alternatives d’exécution de code à distance (RCE) dans le hub de gestion interne PSEMHUB. Oracle avait publié son alerte de sécurité le 10 juin 2026.
Trois failles suivies sous un seul CVE public
ZDI associe à la chaîne trois références de suivi : ZDI-CAN-31816 désigne la SSRF de PeopleSoft Integration Gateway (PSIGW), ZDI-CAN-31818 le contrôle d’un chemin de fichier dans PSEMHUB et ZDI-CAN-31817 la désérialisation de données XML dans ce même hub. Ces références ZDI-CAN ne sont pas des CVE distincts attribués dans l’analyse. Oracle emploie CVE-2026-35273 pour son alerte, et ZDI indique coordonner avec Oracle l’attribution de CVE séparés aux trois failles.
Comment la SSRF ouvre deux voies d’exécution
La SSRF se trouve dans le connecteur HttpTargetConnector de PSIGW. Elle permet de définir l’adresse de destination et le contenu transmis dans la requête. La validation des clients de PSEMHUB fait confiance par défaut à l’adresse locale 127.0.0.1, ajoutée pour permettre à l’agent PeopleSoft local de communiquer avec le hub. Selon ZDI, la requête relayée par PSIGW peut ainsi atteindre cette interface de gestion interne.
La SSRF fournit le pivot ; deux failles différentes de PSEMHUB ouvrent ensuite des voies d’exécution alternatives.
La première concerne ExecuteProcessActivityCommand, une fonction conçue pour écrire des entrées de journal sur le serveur. ZDI indique que le contenu et le chemin absolu du fichier à écrire peuvent être contrôlés. Cette faille peut permettre d’écrire une web shell, un fichier donnant accès à l’exécution de commandes à distance.
La seconde voie passe par Java XMLDecoder. Lors de l’initialisation de HubServlet, notamment après le redémarrage du service ou du système, PSEMHUB lit les fichiers XML de son répertoire de données d’environnement. ZDI explique que le traitement des objets décrits dans un fichier XML peut exécuter du code avant qu’une conversion ultérieure vers le type attendu échoue.
Les versions de PeopleTools citées par Oracle
L’alerte Oracle du 10 juin 2026 cite PeopleSoft Enterprise PeopleTools 8.61 et 8.62. Oracle évalue CVE-2026-35273 à 9,8 sur l’échelle CVSS 3.1 ; l’attaque peut être menée sur le réseau, sans privilèges ni interaction de l’utilisateur, et peut entraîner une exécution de code à distance.
Oracle précise que les correctifs et mesures d’atténuation de ses alertes de sécurité sont fournis pour les versions couvertes par Premier Support ou Extended Support. Les versions antérieures n’ont pas été testées pour ces vulnérabilités, mais Oracle estime qu’elles sont probablement également concernées et recommande de passer à une version prise en charge. L’entreprise recommande aussi d’appliquer sans délai les mesures d’atténuation indiquées dans son alerte de sécurité CVE-2026-35273.
Une attribution de Mandiant et du Google Threat Intelligence Group (GTIG), rapportée le 28 octobre 2026, associe à UNC6240, également connu sous le nom de ShinyHunters, l’exploitation de cette vulnérabilité entre le 27 mai et le 9 juin 2026. Cette période précède l’alerte Oracle du 10 juin ; l’analyse technique de ZDI a été publiée le 27 octobre.
