CVE-2026-35273, vulnerabilità critica in Oracle PeopleSoft Enterprise PeopleTools con punteggio CVSS 9.8, è stata sfruttata come zero-day dal gruppo finanziariamente motivato ShinyHunters — tracciato da Mandiant come UNC6240 — dal 27 maggio al 9 giugno 2026. Oracle ha rilasciato una patch d'emergenza il 10 giugno 2026, lo stesso giorno dell'advisory out-of-band. Entro quel momento, Google Mandiant aveva già notificato oltre 100 organizzazioni: il 68% nel settore dell'istruzione superiore, senza che tutte fossero necessariamente compromesse.
- La vulnerabilità risiede nel componente PeopleSoft Environment Management Hub (PSEMHUB) e consente RCE non autenticata via SSRF, secondo il record NVD e le analisi di TrendAI Zero Day Initiative.
- L'exploitation attiva ha preceduto l'advisory Oracle di circa due settimane, con CISA che ha aggiunto CVE-2026-35273 al catalogo KEV il 12 giugno 2026.
- ShinyHunters, gruppo criminale noto per il furto e la monetizzazione di dati, ha rivendicato 300+ istanze compromesse e pubblicato i dati dell'Università di Nottingham (~455.000 indirizzi email).
- La correzione definitiva è arrivata con il Critical Patch Update di luglio 2026.
Il meccanismo: da SSRF a RCE attraverso il management hub
La falla colpisce il componente Updates Environment Management, noto come PSEMHUB, all'interno di PeopleTools versioni 8.61 e 8.62. Secondo il record CVE pubblicato su NVD, la vulnerabilità è classificata come SSRF (Server-Side Request Forgery, CWE-918) con vettore di attacco di tipo remoto, complessità bassa, nessun privilegio richiesto e nessuna interazione utente necessaria.
TrendAI Zero Day Initiative, accreditata per la scoperta originale, ha classificato il meccanismo come SSRF che abilita l'esecuzione di codice remoto. L'endpoint /PSEMHUB/hub e il connettore /PSIGW/HttpListeningConnector permettono a un attaccante di costringere il server applicativo a emettere richieste HTTP controllate dall'esterno, aprendo la strada a gadget chain che portano all'esecuzione di codice arbitrario.
Rapid7 ha confermato che la patch d'emergenza è stata rilasciata lo stesso giorno dell'advisory Oracle, il 10 giugno 2026. Charles Carmakal, CTO di Mandiant, ha dichiarato in quel periodo — via LinkedIn, come riportato da The Register — che "Oracle released mitigations. Patches should come soon", riconoscendo la pressione temporale tra mitigazioni di emergenza e correzione definitiva.
La campagna: due settimane di exploitation silenziosa
Secondo l'analisi di Mandiant/Google Threat Intelligence Group, citata da Tech Insider, l'attività malevola è iniziata il 27 maggio 2026 e si è protratta fino al 9 giugno. Durante questo intervallo la vulnerabilità era sconosciuta al pubblico e priva di patch: condizione che definisce tecnicamente uno sfruttamento zero-day.
L'infrastruttura di attacco identificata include server Python SimpleHTTPServer sulla porta 8888, agenti MeshCentral mascherati da binari Azure, e il dominio C2 azurenetfiles.net. Il movimento laterale avviene tramite script [vittima]_fanout.sh che utilizza SSH con credenziali hardcoded contro le voci /etc/hosts. L'esfiltrazione dei dati utilizza compressione zstd.
"While several organizations successfully blocked the activity or remediated the vulnerabilities, others experienced compromise, resulting in stolen data being published on the ShinyHunters Data Leak Website"
— Mandiant (via Tech Insider/TechCrunch)
Le vittime: l'istruzione superiore come bersaglio privilegiato
Mandiant ha notificato oltre 100 organizzazioni potenzialmente vulnerabili o compromesse. Il 68% di queste è nel settore dell'higher education, una concentrazione che riflette la diffusione storica di PeopleSoft nei sistemi ERP universitari per la gestione di studenti, finanze e risorse umane.
L'Università di Nottingham è la prima vittima pubblicamente confermata. Il database Have I Been Pwned, gestito da Troy Hunt, ha registrato l'esposizione di circa 455.000 indirizzi email unici. ShinyHunters ha rivendicato direttamente il breach in una dichiarazione a The Register: "University of Nottingham on our leak site is one of the first publicly confirmed incidents... We have only just started outreach to affected orgs".
Il gruppo ha rivendicato 300+ istanze PeopleSoft compromesse attraverso 100+ organizzazioni, secondo quanto riportato da The Next Web il 11 giugno 2026. Questa cifra supera il numero di notifiche Mandiant, suggerendo che alcune organizzazioni possano aver ospitato più istanze vulnerabili.
Cosa cambia
L'attribuzione a UNC6240/ShinyHunters documenta un'estensione delle capacità del gruppo. Tradizionalmente associato al furto e alla rivendita di credenziali SaaS, ha dimostrato in questa campagna la capacità di sfruttare vulnerabilità zero-day in sistemi ERP enterprise.
Le fonti non chiariscono se ShinyHunters abbia sviluppato internamente la capacità di ricerca zero-day o abbia acquisito la vulnerabilità attraverso terzi. Questo punto rimane non determinato e influenza la valutazione della sostenibilità della minaccia: una capacità end-to-end di ricerca vulnerabilità in ERP Oracle rappresenterebbe un salto qualitativo rispetto al profilo storico del gruppo, ma le fonti attuali non permettono di trarre conclusioni in questo senso.
La correzione definitiva di CVE-2026-35273 è stata distribuita nel Critical Patch Update di luglio 2026, come confermato da TechTimes il 21 luglio. L'advisory Oracle ha incluso anche CVE-2026-35278, una seconda RCE nel medesimo componente PSEMHUB, segnalata come correlata ma con exploitation non documentata nel periodo zero-day.
La domanda se ShinyHunters manterrà questa capacità zero-day o se l'incidente rappresenti un evento one-off resta senza risposta nelle fonti disponibili. La valutazione del rischio futuro dipenderà da questa determinazione, che al momento non è possibile effettuare.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://tech-insider.org/oracle-peoplesoft-zero-day-cve-2026-35273/
- https://www.techtimes.com/articles/318522/20260616/oracle-peoplesoft-zero-day-exploited-100-breaches-council-europe-deadline-falls-today.htm
- https://www.techtimes.com/articles/321140/20260721/peoplesoft-exploit-behind-100-breaches-gets-patched-oracles-record-july-cpu.htm
- https://thenextweb.com/news/oracle-peoplesoft-shinyhunters-zero-day-100-companies
- https://www.theregister.com/cyber-crime/2026/06/11/shinyhunters-claims-oracle-peoplesoft-0-day-hit-100-orgs/5254443
- https://nvd.nist.gov/vuln/detail/CVE-2026-35273
- https://thehackernews.com/2026/06/shinyhunters-exploits-oracle-peoplesoft.html
- https://www.rapid7.com/blog/post/etr-active-exploitation-of-oracle-peoplesoft-zero-day-cve-2026-35273/
- https://www.securityweek.com/shinyhunters-claims-council-of-europe-hack/