ZDI beschreef op 27 oktober 2026 drie gekoppelde fouten achter CVE-2026-35273 in Oracle PeopleSoft: een server-side request forgery (SSRF), waarbij een server een verzoek naar een gekozen bestemming doorstuurt, en twee alternatieve routes voor code-uitvoering op afstand (RCE). De analyse legt uit hoe de SSRF in PeopleSoft Integration Gateway (PSIGW) de interne Environment Management Hub (PSEMHUB) kan bereiken.
Drie ZDI-labels, één Oracle-CVE
ZDI koppelt ZDI-CAN-31816 aan de SSRF in PSIGW’s HttpTargetConnector. ZDI-CAN-31818 staat voor een fout in PSEMHUB waarbij een aanroeper de bestandsinhoud en het absolute doelpad kan bepalen. ZDI-CAN-31817 betreft het onveilig verwerken van XML in PSEMHUB. Dit zijn trackinglabels van ZDI; Oracle’s beveiligingsmelding gebruikt CVE-2026-35273.
Hoe de SSRF PSEMHUB bereikt
Bij de SSRF kan een verzoek een opgegeven doel-URL en inhoud doorsturen. De standaardconfiguratie voor toegestane hosts in PSEMHUB vertrouwt 127.0.0.1, het lokale loopbackadres dat wordt gebruikt voor communicatie met lokale agents. ZDI beschrijft hoe de SSRF die vertrouwensregel kan benutten om PSEMHUB te bereiken.
Twee alternatieve routes naar code-uitvoering
Na de doorgang naar PSEMHUB beschrijft ZDI twee afzonderlijke mogelijkheden. Bij de eerste kan de bestandsfout een webshell op een gekozen absoluut pad schrijven. Een webshell is een bestand waarmee een aanvaller opdrachten op de server kan uitvoeren.
De tweede route gebruikt Java XMLDecoder. PSEMHUB leest bij de initialisatie van HubServlet XML-bestanden uit de map met omgevingsgegevens. Volgens ZDI kan het verwerken van objecten uit een kwaadaardig XML-bestand al code uitvoeren voordat een latere controle op het verwachte type Environment mislukt. Dat kan gebeuren wanneer de hub wordt geïnitialiseerd, bijvoorbeeld na een herstart van de service of het systeem.
Versies, risico en eerdere exploitatie
Oracle’s beveiligingsadvies noemt PeopleSoft Enterprise PeopleTools 8.61 en 8.62 en het onderdeel Updates Environment Management over HTTP. Oracle geeft CVE-2026-35273 een CVSS 3.1-basisscore van 9,8. De beoordeling noemt een netwerkaanval met lage complexiteit, waarvoor geen privileges of gebruikersinteractie nodig zijn.
Oracle publiceerde het beveiligingsadvies op 10 juni 2026. De leverancier levert mitigaties en patches voor productversies binnen Premier Support of Extended Support. Oudere versies zijn volgens Oracle niet getest en zijn waarschijnlijk ook getroffen.
Een op 28 oktober gepubliceerde melding meldde dat Mandiant en Google Threat Intelligence Group (GTIG) de exploitatie van 27 mei tot en met 9 juni 2026 toeschreven aan UNC6240, ook bekend als ShinyHunters.
