L’analisi tecnica pubblicata da Zero Day Initiative (ZDI) il 27 ottobre 2026 descrive tre vulnerabilità concatenate in Oracle PeopleSoft, riunite nell’avviso CVE-2026-35273. La catena parte da una falsificazione delle richieste lato server (SSRF) in PSIGW e raggiunge PSEMHUB, dove si aprono due vie alternative di esecuzione di codice da remoto (RCE).
Tre vulnerabilità, un solo CVE pubblico
ZDI assegna alle tre vulnerabilità le etichette di tracciamento ZDI-CAN-31816, ZDI-CAN-31818 e ZDI-CAN-31817. La prima riguarda la SSRF in PSIGW; le altre due descrivono vulnerabilità distinte in PSEMHUB. Oracle usa CVE-2026-35273 per l’avviso che comprende la catena. Le etichette ZDI-CAN non sono CVE separati.
Come funziona la catena di vulnerabilità PeopleSoft
La SSRF si trova in HttpTargetConnector, parte del PeopleSoft Integration Gateway (PSIGW). Secondo ZDI, consente di impostare l’indirizzo di destinazione e il contenuto inoltrato. La configurazione predefinita degli host consentiti di PSEMHUB considera attendibile 127.0.0.1, l’indirizzo di loopback usato per le comunicazioni locali. La richiesta può così raggiungere l’hub interno.
Da PSEMHUB, ZDI descrive due percorsi alternativi per l’esecuzione di codice. Non sono due passaggi successivi della stessa via.
Scrittura di una web shell
La vulnerabilità in ExecuteProcessActivityCommand permette di controllare il contenuto del file e il percorso assoluto di destinazione. ZDI descrive questa via come un possibile modo per scrivere una web shell.
Esecuzione durante l’inizializzazione
L’altra vulnerabilità riguarda la deserializzazione di file XML tramite Java XMLDecoder. Durante l’inizializzazione di HubServlet, PSEMHUB legge i file XML dalla directory dei dati d’ambiente. ZDI spiega che il codice può essere eseguito durante l’elaborazione dell’XML, prima che fallisca una successiva conversione al tipo Environment previsto. La fase di inizializzazione, anche dopo il riavvio del servizio o del sistema, è quindi il momento rilevante per questo percorso.
Versioni di PeopleTools indicate da Oracle
L’avviso Oracle del 10 giugno 2026 elenca PeopleSoft Enterprise PeopleTools 8.61 e 8.62 come interessati. Oracle afferma che le versioni precedenti non sono state testate per queste vulnerabilità e che probabilmente sono anch’esse interessate. L’azienda precisa inoltre che le mitigazioni e le patch dell’avviso riguardano le versioni in Premier Support o Extended Support e raccomanda di passare a una versione supportata. Le indicazioni sono nell’avviso di sicurezza Oracle per CVE-2026-35273.
Oracle assegna alla vulnerabilità un punteggio CVSS 3.1 di 9,8. La matrice indica un attacco via rete, a bassa complessità, senza privilegi richiesti né interazione dell’utente.
Lo sfruttamento attribuito precede l’avviso Oracle
Mandiant e Google Threat Intelligence Group (GTIG) hanno attribuito a UNC6240, noto anche come ShinyHunters, attività di sfruttamento tra il 27 maggio e il 9 giugno 2026. Oracle ha pubblicato l’avviso il 10 giugno; l’analisi tecnica di ZDI è arrivata il 27 ottobre dello stesso anno.
