La vulnerabilidad crítica CVE-2026-35273 en Oracle PeopleSoft Enterprise PeopleTools versiones 8.61 y 8.62, que el grupo ShinyHunters ha estado explotando como zero-day desde mayo de 2026, en realidad no es una, sino tres vulnerabilidades distintas encadenadas. Así lo informó la semana pasada el equipo de Zero Day Initiative (ZDI), que fue quien descubrió inicialmente el problema y lo reportó a Oracle. La vulnerabilidad tiene una puntuación CVSS de 9.8, permite a un atacante no autenticado obtener ejecución remota de código y está incluida en el catálogo CISA Known Exploited Vulnerabilities. Las organizaciones que utilizan PeopleSoft deben instalar de inmediato el parche de Oracle publicado el 10 de junio de 2026 y comprobar si hay indicios de compromiso, ya que la instalación del parche no elimina el acceso previamente obtenido por un atacante. Ya escribimos sobre esta vulnerabilidad en el contexto de las declaraciones de ShinyHunters.
Anatomía de la cadena: de SSRF a ejecución de código
Oracle cerró los tres fallos bajo un único identificador CVE-2026-35273; sin embargo, según ZDI, se trata de tres vulnerabilidades distintas en dos componentes de PeopleSoft. ZDI está coordinando con Oracle la asignación de un CVE separado a cada fallo, pero en el momento de la publicación, este identificador sigue siendo el único en el registro. Este matiz es importante: la existencia de un CVE y un parche no implica que solo exista un fallo, y las organizaciones deben tenerlo en cuenta al evaluar su superficie de ataque.
Intervienen dos componentes que funcionan como aplicaciones web independientes:
- Integration Gateway (PSIGW): pasarela para el intercambio de mensajes con sistemas externos;
- Environment Management Hub (PSEMHUB): interfaz administrativa interna, pensada para ser accesible solo desde hosts de confianza.
Según ZDI, la cadena de explotación es la siguiente:
- SSRF en PSIGW. El atacante envía una petición al manejador de conexiones entrantes de Integration Gateway y controla tanto la dirección de destino como todo el contenido de la solicitud reenviada. El manejador no comprueba si la dirección de destino es un objetivo legítimo.
- Bypass de comprobación de confianza mediante loopback. PSEMHUB determina los clientes de confianza basándose en una lista del archivo
allowedhosts.properties. Por defecto, este archivo contiene la dirección 127.0.0.1. El atacante dirige la petición SSRF a la dirección de loopback: la petición llega a PSEMHUB como si procediera del propio servidor y la comprobación de confianza se supera con éxito. La interfaz interna, que Oracle suponía aislada, pasa a estar accesible desde el exterior. - Ejecución de código. ZDI describe dos caminos para convertir el acceso a PSEMHUB en ejecución arbitraria de código. El primero es a través de un comando de escritura de logs, donde el atacante controla tanto el contenido del archivo como la ruta en disco, lo que permite colocar un web-shell en el directorio de la aplicación. El segundo es mediante la escritura de un archivo XML malicioso, que PSEMHUB procesa con Java XMLDecoder en el siguiente inicio del servicio, ejecutando el código del atacante sin necesidad de colocar un web-shell.
El segundo camino hacia la ejecución de código, a través de XMLDecoder, es especialmente peligroso desde el punto de vista de la detección: no deja archivos JSP, que suelen ser el foco de muchas reglas de detección. Las organizaciones cuyo monitoreo se limita a la búsqueda de web-shells JSP corren el riesgo de pasar por alto la intrusión. Para una detección completa, es necesario combinar el análisis de logs de acceso con la supervisión de los procesos generados por el proceso Java de WebLogic.
Campaña de ShinyHunters: de universidades a organismos públicos
Según Mandiant y Google Threat Intelligence Group, se observó explotación activa de CVE-2026-35273 entre el 27 de mayo y el 9 de junio de 2026, es decir, antes de la publicación del parche de Oracle el 10 de junio, lo que califica la campaña como zero-day. La campaña se atribuye al grupo UNC6240, también conocido como ShinyHunters. Inicialmente, los ataques se dirigieron principalmente al sector de la educación superior: según las estimaciones de Mandiant, el 68% de las más de 100 organizaciones notificadas eran universidades.
En septiembre de 2026, Mandiant registró una nueva oleada de explotación masiva que se extendió a los sectores de tecnología, servicios de TI, salud, agricultura, transporte y administración pública. Se encontraron web-shells en decenas de sistemas en todo el mundo.
Es especialmente reseñable la técnica de evasión de WAF utilizada por ShinyHunters en la segunda oleada: en lugar de acceder directamente a la ruta /PSEMHUB/, los atacantes usaban una codificación URL de un carácter: /%50SEMHUB/. La mayoría de las reglas de WAF realizan la correlación sobre el texto plano de la ruta, mientras que el servidor PeopleSoft decodifica la ruta antes de procesarla. Mandiant también señala un patrón característico de reconocimiento: de 5 a 15 peticiones POST a la ruta codificada antes de iniciar la explotación, lo que puede servir como indicador en los logs.
Indicadores de compromiso
Con base en los datos de la investigación, están disponibles los siguientes IOC:
- Hashes de archivos:
48b4a0827da7bbfce9fb52464f8a659dea7a035189c52c506c0bfb4b1c3fe494,2bee941fb40519d0d1ec52bd79a8f63fc65aac6455c8f2d6b668e3360dfdb5d7 - Direcciones IP: 142.11.200.186–190, 5.199.162.157, 104.219.234.138, 162.219.30.165
- Dominios: azurenetfiles.net, winmanage-me.network
- C2 URL:
wss://azurenetfiles.net:443/agent.ashx(MeshCentral)
Recomendaciones
- Instale el parche. Aplique la corrección de Oracle para CVE-2026-35273 y asegúrese de estar utilizando una versión compatible de PeopleTools. Mandiant indica explícitamente que bloquear rutas mediante un WAF no sustituye al parche: la técnica de codificación de URL lo ha demostrado claramente.
- Si el parche aún no es posible, desactive el servicio Environment Management Hub en configuraciones multiserver o elimine la aplicación PSEMHUB en configuraciones de un solo servidor, tal como recomienda Oracle. Esto no interrumpe el funcionamiento de las sesiones de usuario.
- Realice una comprobación de compromiso. Busque no solo archivos JSP de web-shells, sino también archivos XML sospechosos en los directorios de PSEMHUB, así como procesos hijo atípicos del proceso Java de WebLogic. Revise los logs en busca de peticiones POST a rutas con codificación de URL (
/%50SEMHUB/). - Si detecta compromiso, considere el host completamente comprometido, preserve las evidencias y rote todas las credenciales accesibles desde el nivel de PeopleSoft. ShinyHunters roba datos y posteriormente exige un rescate, por lo que hay que prepararse para intentos de extorsión.
La lección clave de este incidente es arquitectónica: incluir la dirección de loopback en la lista de hosts de confianza por defecto convierte cualquier vulnerabilidad de SSRF en un bypass completo de los controles de acceso a las interfaces internas. Para las organizaciones que operan PeopleSoft no basta con instalar el parche: es necesario asegurarse de que en los servidores afectados no haya indicios de acceso previo por parte de atacantes, ya que ni Oracle ni Mandiant confirman que el parche elimine los mecanismos de persistencia ya instalados.
