Em análise publicada em 27 de outubro de 2026, a Zero Day Initiative (ZDI) descreveu três vulnerabilidades encadeadas sob o CVE-2026-35273. A cadeia começa com uma falsificação de requisição do lado do servidor (SSRF) no PeopleSoft Integration Gateway (PSIGW) e pode levar a duas rotas alternativas de execução remota de código (RCE) no PeopleSoft Environment Management Hub (PSEMHUB). A Oracle havia publicado seu alerta sobre a falha em 10 de junho de 2026.
Três falhas, um CVE público
A ZDI identificou os problemas com três rótulos de rastreamento: ZDI-CAN-31816 para a SSRF no PSIGW, ZDI-CAN-31818 para o controle de caminho de arquivo no PSEMHUB e ZDI-CAN-31817 para a desserialização insegura de XML no PSEMHUB. Esses códigos ZDI-CAN não são identificadores CVE. Em sua análise de 27 de outubro, a ZDI disse que coordenava com a Oracle a atribuição de CVEs separados para as falhas.
Da SSRF no PSIGW às duas rotas no PSEMHUB
A SSRF no componente HttpTargetConnector do PSIGW permite controlar o endereço de destino e o conteúdo encaminhado na requisição, segundo a ZDI. O caminho até o PSEMHUB passa pela configuração padrão de hosts permitidos, que confia no endereço local 127.0.0.1 para a comunicação com agentes. A requisição originada pela SSRF pode, assim, alcançar o hub interno por esse endereço.
A partir do PSEMHUB, a ZDI descreve duas alternativas para executar código. Uma falha no ExecuteProcessActivityCommand permite que conteúdo e um caminho absoluto de arquivo sejam controlados por quem envia a solicitação, o que pode levar à gravação de uma web shell. A outra rota usa um arquivo XML malicioso no diretório de dados do ambiente do PSEMHUB.
Quando o HubServlet é inicializado, o Java XMLDecoder lê esse arquivo. A análise da ZDI explica que o processamento do objeto pode executar código antes de uma conversão posterior falhar ao tentar convertê-lo para o tipo Environment esperado. Essa rota pode ser acionada durante a inicialização do serviço, inclusive após uma reinicialização.
Versões do PeopleTools e alerta da Oracle
A Oracle lista o PeopleSoft Enterprise PeopleTools 8.61 e 8.62 como afetados pelo CVE-2026-35273. Seu alerta atribui à vulnerabilidade nota base 9,8 no CVSS 3.1 e descreve um ataque pela rede, de baixa complexidade, sem privilégios nem interação do usuário.
A Oracle informa que fornece correções e medidas de mitigação para versões dentro dos programas Premier Support ou Extended Support. Para versões anteriores, a empresa diz que não as testou para essas vulnerabilidades e que provavelmente também são afetadas; recomenda atualizar para uma versão com suporte. O alerta de segurança da Oracle sobre o CVE-2026-35273 reúne o escopo e as orientações do fornecedor.
A exploração atribuída ocorreu antes do alerta
Mandiant e Google Threat Intelligence Group (GTIG) atribuíram a UNC6240, também conhecido como ShinyHunters, atividade de exploração entre 27 de maio e 9 de junho de 2026. O período terminou um dia antes de a Oracle publicar o alerta de 10 de junho. A análise técnica da ZDI, publicada em outubro, detalhou como as três falhas podem compor a cadeia.
