--- title: La vulnerabilidad crítica de Oracle PeopleSoft explotada por ShinyHunters es en realidad tres fallos encadenados url: https://www.dataloco.com/es/la-vulnerabilidad-critica-de-oracle-peoplesoft-explotada-por-shinyhunters-es-en-realidad-tres-fallos-encadenados published: 2026-10-31T08:23:40+00:00 language: es section: Seguridad source: https://thehackernews.com/2026/10/shinyhunters-exploited-oracle.html organizations: Oracle, Mandiant, Google Threat Intelligence Group, Zero Day Initiative, CISA publisher: Dataloco --- # La vulnerabilidad crítica de Oracle PeopleSoft explotada por ShinyHunters es en realidad tres fallos encadenados Los investigadores que reportaron la vulnerabilidad crítica de Oracle PeopleSoft, explotada por el grupo ShinyHunters desde mayo, revelaron esta semana que no se trata de un solo fallo, sino de tres vulnerabilidades encadenadas. Oracle corrigió las tres bajo un único identificador, CVE-2026-35273, en junio. La raíz del problema es una falsificación de solicitud del lado del servidor que alcanza una interfaz de gestión interna, ya que PeopleSoft confía por defecto en su propia dirección de bucle, lo que permite la ejecución remota de código sin necesidad de inicio de sesión. El análisis proviene de Bobby Gould, de la Iniciativa de Día Cero, cuyo equipo reportó el fallo a Oracle. La organización indicó que reportó tres vulnerabilidades distintas en dos componentes de PeopleSoft y que está trabajando con la empresa para asignar un identificador separado a cada una. Hasta la fecha, el único identificador registrado es el de junio. Esta vulnerabilidad afecta a las versiones 8.61 y 8.62 de PeopleSoft Enterprise PeopleTools, tiene una puntuación de 9.8 y permite a un atacante no autenticado tomar el control del servidor a través de la red. Oracle publicó su solución en una alerta de seguridad fuera de horario el 10 de junio, y el fallo figura en el catálogo de vulnerabilidades explotadas conocidas de la Agencia de Seguridad Cibernética e Infraestructura de Estados Unidos. Los atacantes ya estaban utilizando el fallo antes de que se implementara la solución. Mandiant y el Grupo de Inteligencia de Amenazas de Google atribuyen una campaña al grupo UNC6240, conocido como ShinyHunters, que explotó la vulnerabilidad entre el 27 de mayo y el 9 de junio, principalmente contra universidades. Dado que esta actividad ocurrió antes del aviso de Oracle, se trató de una vulnerabilidad de día cero durante todo ese período. En un seguimiento de septiembre, Mandiant reportó una nueva oleada más grande que se extendió más allá del sector educativo hacia tecnología, servicios de informática, atención médica, agricultura, transporte y gobierno, afectando a decenas de sistemas en todo el mundo. El análisis técnico explica que dos componentes de PeopleSoft están involucrados: la Puerta de Integración, que intercambia mensajes con sistemas externos, y el Centro de Gestión del Entorno, una interfaz administrativa interna que debería responder solo a hosts de confianza. El primer fallo es la falsificación de solicitud en la Puerta de Integración, donde un atacante controla la dirección de destino y la carga completa sin verificación. El Centro de Gestión del Entorno confía en una lista de archivos que incluye la dirección local 127.0.0.1. Al apuntar la falsificación a esa dirección, la solicitud parece provenir de la propia máquina y supera la verificación de confianza, haciendo accesible la interfaz interna desde el exterior. Desde ahí, existen dos formas de convertir ese acceso en ejecución de código. Una abusa de un comando para escribir entradas de registro, permitiendo al atacante escribir una web shell en el directorio de la aplicación y ejecutar comandos como la cuenta de servicio de PeopleSoft. La otra escribe un archivo XML malicioso que el sistema lee al reiniciarse, ejecutando el código del atacante sin dejar una web shell. En la oleada de septiembre, Mandiant encontró que ShinyHunters esquivaba las reglas de los cortafuegos de aplicaciones web codificando una sola letra de la ruta, lo que permitía el acceso aunque las reglas bloquearan el texto plano. ## This story in other languages - [Português (Brasil)](https://www.dataloco.com/pt-br/falha-critica-no-oracle-peoplesoft-e-composta-por-tres-vulnerabilidades-encadeadas) - [한국어](https://www.dataloco.com/ko/shinyhunters-oracle-peoplesoft) - [Indonesia](https://www.dataloco.com/id/tiga-celah-keamanan-berantai-digunakan-shinyhunters-untuk-eksploitasi-oracle-peoplesoft) - [ไทย](https://www.dataloco.com/th/oracle-peoplesoft-shinyhunters) - [中文](https://www.dataloco.com/zh/shinyhuntersoracle-peoplesoft) - [العربية](https://www.dataloco.com/ar/thghr-oracle-peoplesoft-alty-astghltha-shinyhunters-ttkon-mn-thlath-thghrat-mtslsl) - [हिन्दी](https://www.dataloco.com/hi/shinyhunters-thavara-upayaga-kaya-gaya-oracle-peoplesoft-shanaya-thavasa-thashha-vasatava-ma-tana-jaugdha-hae-thashha-tha) - [Nederlands](https://www.dataloco.com/nl/shinyhunters-maakte-gebruik-van-drie-gekoppelde-kwetsbaarheden-in-oracle-peoplesoft) - [Svenska](https://www.dataloco.com/sv/shinyhunters-utnyttjade-tre-sammanlankade-sarbarheter-i-oracle-peoplesoft) - [Türkçe](https://www.dataloco.com/tr/shinyhunters-tarafindan-istismar-edilen-oracle-peoplesoft-sifir-gun-aciginin-uc-zincirleme-kusur-oldugu-ortaya-cikti) - [Русский](https://www.dataloco.com/ru/kriticeskaia-uiazvimost-oracle-peoplesoft-okazalas-cepockoi-iz-trex-osibok)