Oracle PeopleSoft — Explotación de Vulnerabilidad Zero-Day Resulta Ser una Cadena de Tres Fallos (CVE-2026-35273)

Fecha de publicación: 28 de octubre de 2026
Categoría: Vulnerability / Enterprise Security

Introducción

La crítica vulnerabilidad en el producto Oracle PeopleSoft, la cual ha sido explotada activamente en campañas de ataques cibernéticos desde mayo, no representa un fallo aislado, sino una sofisticada cadena de tres vulnerabilidades distintas combinadas. Investigadores de seguridad informaron que Oracle parcheó originalmente este conjunto de problemas bajo un único identificador global, el CVE-2026-35273, durante el mes de junio. La campaña de explotación de este vector zero-day fue atribuida al grupo de amenazas conocido como UNC6240, ampliamente identificado como ShinyHunters, afectando inicialmente a instituciones educativas y expandiéndose posteriormente a sectores globales críticos como tecnología, salud y agencias gubernamentales.

¿Qué es CVE-2026-35273? (Análisis General)

El identificador CVE-2026-35273 agrupa una serie de problemas arquitectónicos en el componente Updates Environment Management de Oracle PeopleSoft Enterprise PeopleTools versiones 8.61 y 8.62. De acuerdo con los datos oficiales confirmados por la Base Nacional de Vulnerabilidades (NVD), este fallo posee una puntuación de CVSS 3.1 Base Score de 9.8 (Crítico) con un vector exacto (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), lo que significa que un atacante remoto sin autenticación y sin privilegios previos puede lograr el control total (takeover) de la aplicación a través de la red HTTP. Su clasificación CWE oficial corresponde a CWE-306 (Missing Authentication for Critical Function), tratándose de un vector confirmado y listado en el catálogo de Explotaciones Conocidas de CISA (KEV).

El riesgo principal radica en que PeopleSoft confía por defecto en su propia dirección de bucle invertido (loopback), permitiendo que solicitudes externas redirigidas alcancen interfaces administrativas internas que deberían estar estrictamente protegidas.

¿Cómo funciona? (Análisis Técnico)

La investigación detallada del Zero Day Initiative (ZDI) desglosa el mecanismo técnico por el cual un atacante logra transformar una petición web externa en una ejecución remota de código (RCE) sin autenticación:

  • Flujo inicial de entrada (SSRF): El primer componente afectado es el Integration Gateway (PSIGW), diseñado para intercambiar mensajes con sistemas externos. Un atacante envía una solicitud HTTP manipulada a su conector de escucha, controlando tanto la dirección de reenvío como la carga útil (payload), ya que el controlador carece de validación para verificar si el destino es legítimo.
  • Bypass de confianza local (Loopback Trust): El Environment Management Hub (PSEMHUB) es una interfaz administrativa interna concebida para responder únicamente a hosts confiables mediante una lista blanca alojada en el archivo allowedhosts.properties, el cual incluye por defecto la dirección de loopback 127.0.0.1. Al apuntar el SSRF del PSIGW hacia 127.0.0.1, la solicitud aparenta originarse de la propia máquina, superando con éxito la validación de confianza.
  • Ejecución de Código Remoto (RCE): Una vez alcanzada la interfaz PSEMHUB, ZDI identificó dos vías principales para lograr la ejecución de código:
    1. Abuso de registros (Logs): Manipulación de una función orientada a escribir entradas de registro, donde el atacante controla tanto la ruta exacta en el disco como el contenido del archivo, logrando plantar un web shell en el directorio de la aplicación y ejecutar comandos con los privilegios del servicio de PeopleSoft.
    2. Deserialización de XML: Escritura de un archivo XML malicioso que PSEMHUB procesa utilizando XMLDecoder de Java durante el siguiente reinicio del servicio, ejecutando código arbitrario sin necesidad de desplegar un web shell persistente.
  • Evasión de WAF: Durante las fases posteriores de la campaña, los operadores de ShinyHunters eludieron reglas de cortafuegos de aplicaciones web (WAF) que bloqueaban la ruta /PSEMHUB/ mediante la codificación porcentual de un solo carácter, solicitando /%50SEMHUB/. Mientras el WAF comparaba texto plano, el servidor PeopleSoft decodificaba la petición y procesaba la ruta de administración.

Sistemas / Entornos Afectados

  • Producto afectado: Oracle PeopleSoft Enterprise PeopleTools.
  • Versiones vulnerables soportadas: Versiones 8.61 y 8.62.
  • Componentes involucrados: Updates Environment Management (incluyendo Integration Gateway - PSIGW y Environment Management Hub - PSEMHUB).
  • Sectores impactados globalmente: Universidades, empresas de tecnología, servicios TI, salud, agricultura, transporte y organizaciones gubernamentales.
CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-35273 CWE-306 (Missing Auth) Confidencialidad, Integridad y Disponibilidad Totales 9.8 (Crítico) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Mitigación y Detección

Remediación

  • Aplicación de parches: Instalar inmediatamente el parche de seguridad fuera de banda (out-of-band) publicado por Oracle para el CVE-2026-35273 y mantener el software en una versión de PeopleTools con soporte activo.
  • Mitigación temporal (Hardening): Si no es posible aplicar el parche de forma inmediata, deshabilitar el servicio del Environment Management Hub en arquitecturas de múltiples servidores, o eliminar por completo la aplicación PSEMHUB en despliegues de servidor único, tal como recomienda el boletín de alerta de Oracle. La restricción de estos puntos finales administrativos no interrumpe las sesiones de usuarios legítimos.
  • Gestión de credenciales: Rotar todas las credenciales accesibles desde la capa de PeopleSoft y asumir compromiso total en caso de detectar artefactos maliciosos.

Detección

  • Búsqueda de IoCs y Artefactos: Los equipos de respuesta a incidentes deben auditar los directorios web de PeopleSoft en búsqueda de archivos extraños o modificaciones recientes, prestando atención a patrones de solicitudes codificadas en URLs (/%50SEMHUB/) dentro de los registros de acceso HTTP.
  • Caza de Amenazas en Endpoints: Inspeccionar los registros del sistema en busca de ejecuciones anómalas iniciadas por la cuenta de servicio de PeopleSoft y verificar la integridad de los archivos de configuración y directorios temporales de Java.

Advertencia de Inteligencia Defensiva: La aplicación del parche cierra el vector de acceso pero no elimina por sí misma a un atacante que ya se encuentre dentro de la red. Cualquier host en el que se detecte la presencia de un web shell debe considerarse comprometido de inmediato, requiriendo aislamiento, preservación forense de evidencias y rotación masiva de credenciales.

Recapitulando

La explotación en modalidad zero-day de Oracle PeopleSoft por parte del grupo ShinyHunters demuestra cómo el encadenamiento de vulnerabilidades aparentemente acotadas (un SSRF combinado con un salto de confianza local loopback) puede derivar en una toma de control crítica de infraestructura empresarial crítica. La persistencia de los atacantes y su capacidad para evadir defensas perimetrales mediante la codificación de rutas recalcan la necesidad de priorizar la aplicación oportuna de parches frente a la dependencia exclusiva de reglas de filtrado WAF.

Referencias