Attackers Bypass WAFs to Exploit Oracle PeopleSoft Flaw and Deploy Web Shells
The Hacker News · 26 sept, 13:46
Qué hacer: Aplica inmediatamente los parches de CVE-2026-35273; deshabilita el servicio Environment Management Hub (EMHub) en configuraciones multiservidor o elimina completamente la aplicación PSEMHUB en configuraciones de servidor único.
Google advierte sobre la explotación masiva en curso de CVE-2026-35273, una vulnerabilidad crítica (CVSS 9.8) en Oracle PeopleSoft que permite ejecución remota de código sin autenticación. El grupo UNC6240 vinculado a ShinyHunters ha modificado su exploit para eludir reglas de WAF mediante codificación URL, desplegando web shells en múltiples sectores (educación superior, tecnología, sanidad, gobierno) y robando datos con fines de extorsión. El mismo grupo ha comprometido también el portal FBIJobs.gov usando una vulnerabilidad zero-day diferente en el mismo software.
El ataque aprovecha la deserialización insegura de Java en el servlet PSEMHUB del hub de gestión de entorno. Los atacantes burlan las reglas de WAF basadas en cadenas literales usando la codificación %50SEMHUB/ en lugar de /PSEMHUB/, ya que muchos WAF validan antes de decodificar URL mientras que el servidor PeopleSoft decodifica la solicitud después. Una vez dentro, despliegan dos web shells JSP (x.jsp para ejecución de comandos multiplataforma y u.jsp para cargas de archivos fragmentadas) en el directorio PSEMHUB.war.
Post-explotación incluye la descarga de Ple64.exe, un instalador troyanizado que carga en memoria el backdoor SIDEEYE (C++) comunicándose con 162.219.30[.]165 para robo de credenciales, gestión de procesos y reverse shell. Los atacantes también emplean Neo-reGeorg (toolkit de tunelización de código abierto) y MeshAgent para persistencia. Aproximadamente una cuarta parte de los comandos se ejecutan con privilegios de root o SYSTEM, dando control total del sistema operativo.
Puntos clave
- CVE-2026-35273 permite RCE no autenticado en Oracle PeopleSoft (CVSS 9.8)
- Bypass de WAF mediante codificación URL del carácter P: %50SEMHUB/ evita reglas que validan antes de decodificar
- Web shells JSP desplegados en docenas de sistemas para persistencia fileless
- Backdoor SIDEEYE comunica exfiltración de credenciales; MeshAgent asegura acceso duradero
- Sectores afectados: educación superior, tecnología, TI, sanidad, agricultura, transporte, gobierno
Figuras de la fuente
