Oracle tappa in sei settimane la falla PeopleSoft che ha svuotato 300 server

Oracle ha rilasciato il 21 luglio 2026 il Critical Patch Update che fissa definitivamente CVE-2026-35278 e CVE-2026-35273, la catena di vulnerabilità in PeopleSoft PeopleTools sfruttata dal gruppo criminale ShinyHunters per compromettere oltre 300 server appartenenti a più di 100 organizzazioni tra il 27 maggio e il 9 giugno. L'intervento di CISA con il Binding Operational Directive 26-04, emesso il 10 giugno prima ancora che la patch completa fosse disponibile, conferma l'eccezionalità operativa dell'incidente: una criticità che ha superato la soglia della semplice segnalazione vendor per entrare nel perimetro della risposta federale d'emergenza.

Perché CVSS 9.8 ha superato CVSS 9.9: la metrica che conta è l'esposizione attiva

Nel July 2026 CPU di Oracle figurano anche vulnerabilità con punteggio CVSS 9.9, tra cui CVE-2026-35263 nel Database Server e CVE-2026-35268 in Identity Manager. Nessuna di esse, tuttavia, ha generato un Binding Operational Directive CISA né una finestra di esposizione documentata di 13 giorni. La distanza di un decimo nel punteggio teorico nasconde un divario operativo abissale: CVE-2026-35278 e CVE-2026-35273 erano già armi in uso contro bersagli connessi a Internet, mentre le falle 9.9 rimanevano, al momento del rilascio, potenzialità non ancora materializzate in campagne di massa.

Secondo il record NVD per CVE-2026-35278, il vettore di attacco è AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: rete, complessità bassa, nessun privilegio richiesto, nessuna interazione utente. NVD annota per questa CVE uno score CISA-ADP SSVC con exploitation:'none' al 17 giugno, indicatore che probabilmente riflette il timing della catalogazione pubblica piuttosto che una valutazione esaustiva dell'attività osservata, dato che Mandiant aveva già datato l'esploitation attiva tra il 27 maggio e il 9 giugno.

La catena di attacco: da Environment Management Hub al database HR

La prima fase sfrutta CVE-2026-35278 contro l'Environment Management Hub di PeopleSoft, componente che accetta richieste HTTP senza autenticazione. Come riporta TechTimes: "No account. No password. Network access alone is sufficient." L'accesso iniziale permette l'esecuzione di codice remoto con i privilegi del servizio PeopleTools, insufficienti per l'exfiltrazione diretta ma sufficienti a innescare la seconda fase.

CVE-2026-35273, la privilege escalation, eleva il controllo fino alla compromissione completa del database PeopleSoft HCM contenente record del personale, buste paga e dati identificativi. Il Security Alert Oracle del 10 giugno ha confermato che la falla è "remotely exploitable without authentication" e "may result in remote code execution". Il dossier non specifica il meccanismo tecnico preciso della privilege escalation oltre a questi parametri.

Il risultato è una catena end-to-end che non richiede credential stuffing, phishing o movimento laterale interno: la superficie di attacco è l'istanza PeopleSoft esposta sulla porta HTTP, tipica delle organizzazioni che abilitano l'accesso remoto per i team HR o i partner payroll.

I numeri dell'incidente: da Moody Bible Institute a Nottingham

"By June 9, they had hit more than 300 institutions"

TechTimes documenta 300 server compromessi in 13 giorni, con più di 100 organizzazioni colpite. Il Moody Bible Institute ha subito l'esposizione di 2,3 milioni di record personali. SupplierShield, citando l'analisi Mandiant, nomina altre vittime: la University of Nottingham con circa 450.000 studenti coinvolti, Nissan con esposizione del personale US/Canada/Messico/Brasile, e la NAIC (National Association of Insurance Commissioners). SupplierShield sottolinea che "one provider's flaw exposed many downstream customers at the same time, which is the defining feature of software supply-chain and ICT concentration risk".

Il gruppo ShinyHunters, attivo dal 2020 e specializzato in furto di dati con successiva vendita o estorsione, ha rivendicato i propri successi a BleepingComputer indicando "roughly 100 organizations", una cifra coerente con la stima Mandiant riportata da SupplierShield. Il dossier non specifica se i dati siano stati integralmente pubblicati, venduti o se siano state pagate riscossioni.

La risposta federale: quando il vendor non basta più

Il 10 giugno 2026, 31 giorni prima del Critical Patch Update definitivo, CISA ha emesso il BOD 26-04 con l'obiettivo di accelerare le remediation sui sistemi federali esposti. Il provvedimento si inserisce nel framework generale di prioritizzazione risk-based delle patch, ma il suo timing specifico — prima della disponibilità della correzione cumulativa — indica che l'intelligence sul campo ha giudicato insostenibile l'attesa del ciclo trimestrale Oracle. L'advisory Oracle del 21 luglio incorpora le correzioni dei CSPU del 28 maggio e del 16 giugno, rendendo il July CPU la prima release che chiude entrambe le fasi della catena in un'unica applicazione.

Oracle ha raccomandato l'installazione delle patch entro 72 ore per le istanze PeopleSoft esposte. Per le organizzazioni che non possono patchare immediatamente, la guida indicativa — riportata da TechTimes — prevede la restrizione dell'accesso HTTP all'Environment Management Hub a range IP trusted. Questa misura riduce la superficie di attacco ma non elimina il rischio di movimento laterale da altri asset compromessi all'interno dei range autorizzati.

Cosa fare adesso

• Verificare la presenza di PeopleTools versioni 8.61 o 8.62 negli ambienti esposti a Internet, con particolare attenzione all'Environment Management Hub abilitato
• Applicare il July 2026 CPU entro 72 ore per le istanze PeopleSoft HCM/PeopleTools con accesso remoto; la patch è cumulativa e sostituisce i CSPU precedenti
• Se il patching non è immediatamente eseguibile, restringere l'accesso HTTP al componente Performance Monitor/Environment Management Hub a indirizzi IP affidabili, monitorando i log per connessioni anomale
• Valutare la necessità di un compromise assessment indipendente per le istanze esposte durante il periodo 27 maggio-9 giugno 2026, data la conferma di exploitation zero-day da parte di Mandiant

Il paradosso della criticità: quando il rischio operativo sovrascrive il punteggio teorico

L'incidente PeopleSoft del 2026 offre un caso di studio sulla distanza tra valutazione del rischio e gestione del rischio. Il sistema CVSS è progettato per misurare la severità intrinseca di una vulnerabilità, non la probabilità di sfruttamento né l'impatto sistemico sul portfolio di una specifica organizzazione. Una falla nel Database Server con scope changed e punteggio 9.9 è teoricamente più grave di una RCE 9.8 con scope unchanged; ma se la prima non è esplosiva in campo e la seconda ha già generato centinaia di compromissioni concrete, la priorità operativa si inverte.

Per i responsabili della third-party risk, per i compliance officer DORA e NIS2, e per i team di cyber insurance, l'episodio evidenzia una forma di rischio concentrato che i framework tradizionali faticano a catturare: la dipendenza da un unico vendor ERP che, nel momento della falla, trasforma un difetto software in un evento di portata settoriale. La frequenza con cui ShinyHunters ha convertito la vulnerabilità in accesso confermato suggerisce che la weaponizzazione era stabile e ripetibile, non un proof-of-concept adattato caso per caso.

Fonti

• https://www.techtimes.com/articles/321140/20260721/peoplesoft-exploit-behind-100-breaches-gets-patched-oracles-record-july-cpu.htm
• https://www.oracle.com/security-alerts/cpujul2026.html
• https://www.suppliershield.com/post/oracle-peoplesoft-zero-day-cve-2026-35273-breaches-100-organisations
• https://threat-modeling.com/oracle-july-2026-critical-patch-update/
• https://nvd.nist.gov/vuln/detail/CVE-2026-35263
• https://nvd.nist.gov/vuln/detail/CVE-2026-35278
• https://nvd.nist.gov/vuln/detail/CVE-2026-35268
• https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
• https://support.oracle.com/