Segurança · 30 de outubro de 2026
Falha crítica no Oracle PeopleSoft é composta por três vulnerabilidades encadeadas
Pesquisadores de segurança revelaram nesta semana que a falha crítica no Oracle PeopleSoft, explorada pelo grupo ShinyHunters desde maio, não consiste em um único defeito, mas em três vulnerabilidades distintas encadeadas. A análise técnica, conduzida pela equipe do Zero Day Initiative, detalha como esses problemas interagem para permitir a execução remota de código sem autenticação.
O Oracle corrigiu as três falhas sob um único identificador, o CVE-2026-35273, em junho. A raiz do problema é uma falsificação de solicitação do lado do servidor, que alcança uma interface de gerenciamento interna porque o PeopleSoft confia no endereço de loopback por padrão. Isso abre a porta para a execução remota de código sem a necessidade de login. A equipe do Zero Day Initiative relatou três vulnerabilidades distintas em dois componentes do PeopleSoft e trabalha com o Oracle para atribuir um identificador separado a cada uma, embora o identificador de junho seja o único registrado até o momento.
O CVE-2026-35273 afeta as versões 8.61 e 8.62 do PeopleSoft Enterprise PeopleTools e possui uma pontuação CVSS de 9.8. A falha permite que um atacante não autenticado assuma o controle do servidor pela rede. O Oracle lançou a correção em um alerta de segurança fora da agenda em 10 de junho, e a falha está no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA.
Atacantes já estavam utilizando a falha antes da correção. A Mandiant e o Google Threat Intelligence Group atribuem uma campanha ao grupo UNC6240, conhecido como ShinyHunters, que explorou a falha entre 27 de maio e 9 de junho, principalmente contra universidades. Como essa atividade ocorreu antes do aviso de 10 de junho do Oracle, tratou-se de uma falha zero-day durante todo o período. Em um relatório de setembro, a Mandiant descreveu uma nova onda maior de ataques que se espalhou para tecnologia, serviços de TI, saúde, agricultura, transporte e governo, afetando dezenas de sistemas em todo o mundo.
A análise técnica explica que dois componentes estão envolvidos: o Integration Gateway, que troca mensagens com sistemas externos, e o Environment Management Hub, uma interface administrativa interna. A primeira falha é a falsificação de solicitação no Integration Gateway, onde o atacante controla o endereço de destino e a carga útil. O Environment Management Hub confia em uma lista de hosts permitidos que inclui o endereço local 127.0.0.1 por padrão. Ao direcionar a solicitação para esse endereço, o atacante passa na verificação de confiança e acessa a interface interna.
A partir desse acesso, há duas formas de executar código. Uma abusa de um comando para gravar entradas de log, permitindo que o atacante escreva um shell web no diretório da aplicação. A outra grava um arquivo XML malicioso que é lido pelo decodificador de XML do Java quando o serviço inicia, executando o código do atacante sem deixar um shell web. Na onda de setembro, o ShinyHunters burlou regras de firewall de aplicação web codificando um caractere no caminho da solicitação, o que enganou as regras de texto simples.
As fontes não determinam se a aplicação do patch remove o acesso que um atacante já obteve. O alerta do Oracle não aborda essa questão, e a orientação da Mandiant para rotacionar credenciais e procurar por shells web pressupõe que o acesso permanece. O patch fecha a porta, mas não expulsa sozinho quem já está dentro.