Analiza ZDI opublikowana 27 października 2026 r. opisuje trzy powiązane luki w Oracle PeopleSoft: błąd fałszowania żądań po stronie serwera (SSRF) w PSIGW umożliwia dotarcie do PSEMHUB, gdzie wskazano dwie alternatywne drogi zdalnego wykonania kodu (RCE).
Oracle opublikował alert dotyczący CVE-2026-35273 10 czerwca 2026 r. Wymienia w nim PeopleSoft Enterprise PeopleTools 8.61 i 8.62. Późniejsza analiza ZDI wyjaśnia, jak trzy usterki składają się na jeden łańcuch.
Trzy luki opisane pod jednym identyfikatorem CVE
Oracle używa identyfikatora CVE-2026-35273 dla alertu bezpieczeństwa. ZDI przypisała poszczególnym usterkom oznaczenia śledzenia: ZDI-CAN-31816 dotyczy SSRF w PSIGW, ZDI-CAN-31818 kontroli ścieżki pliku w PSEMHUB, a ZDI-CAN-31817 niebezpiecznej deserializacji XML w PSEMHUB. Oznaczenia ZDI-CAN są etykietami śledzenia ZDI, a nie odrębnymi numerami CVE.
Jak SSRF w PSIGW dociera do PSEMHUB
PSIGW zawiera podatny element HttpTargetConnector, który pozwala kontrolować adres docelowy żądania i przekazywaną treść. Według ZDI żądanie może w ten sposób dotrzeć do wewnętrznego PSEMHUB.
Kluczowe jest zaufanie do adresu loopback 127.0.0.1, czyli adresu wskazującego na lokalny komputer. Domyślna konfiguracja dozwolonych hostów PSEMHUB uwzględnia ten adres, aby umożliwić komunikację lokalnym agentom. ZDI opisuje, jak SSRF może wykorzystać tę konfigurację, by żądanie dotarło do huba jako pochodzące z zaufanego adresu.
Dwie alternatywne drogi wykonania kodu
Po dotarciu do PSEMHUB łańcuch może prowadzić do jednej z dwóch odrębnych usterek. Nie są to kolejne kroki jednej ścieżki.
Pierwsza polega na możliwości przekazania treści pliku i jego bezwzględnej ścieżki docelowej. ZDI opisuje, że ta kontrola ścieżki może pozwolić na zapis pliku webshell, który służy do zdalnego wykonywania poleceń.
Druga droga wykorzystuje Java XMLDecoder. Podczas inicjalizacji HubServlet PSEMHUB odczytuje pliki XML z katalogu danych środowiska. Według ZDI przetwarzanie obiektów opisanych w spreparowanym pliku może uruchomić kod, zanim późniejsza próba rzutowania obiektu na oczekiwany typ Environment zakończy się błędem. Do wykonania kodu może dojść podczas inicjalizacji, także po ponownym uruchomieniu usługi lub systemu.
Które wersje PeopleTools wymienia Oracle
Alert Oracle wymienia PeopleSoft Enterprise PeopleTools 8.61 i 8.62. Oracle podaje, że wcześniejszych wersji nie testowano pod kątem tych luk i że prawdopodobnie również są podatne. Nie określa ich jednak jako potwierdzonego zakresu podatności.
Oracle wskazuje, że poprawki i środki zaradcze z alertu dotyczą wersji objętych Premier Support lub Extended Support, oraz zaleca aktualizację do wspieranej wersji. Szczegóły zawiera alert bezpieczeństwa Oracle dotyczący CVE-2026-35273.
Wcześniejsza eksploatacja przypisywana UNC6240
Mandiant i Google Threat Intelligence Group (GTIG) przypisały grupie UNC6240, znanej także jako ShinyHunters, wykorzystywanie CVE-2026-35273 w okresie od 27 maja do 9 czerwca 2026 r.
