Cyber ·
CVE-2026-35273: cadeia de SSRF a RCE no Oracle PeopleSoft
Resumo de um aviso da Zero Day Initiative sobre uma cadeia de SSRF e outras falhas no Oracle PeopleSoft que pode levar à execução remota de código. O texto relata exploração em massa contínua atribuída ao grupo ShinyHunters.
O aviso, publicado no feed da Zero Day Initiative como tradução automática, descreve o CVE-2026-35273. Segundo o texto, a Zero Day Initiative reportou o problema à Oracle em 10 de junho de 2026. Em 25 de setembro de 2026, a Mandiant publicou um relatório sobre exploração em massa contínua desse CVE pelo grupo ShinyHunters. A Oracle publicou uma correção sob um único CVE, mas os pesquisadores afirmam ter identificado três vulnerabilidades distintas em vários componentes do PeopleSoft, e estão coordenando com a Oracle a atribuição de CVEs separados. Os dois componentes centrais são o PeopleSoft Environment Management Hub, que implementa o método validateClient para restringir acesso a funcionalidades, e o PeopleSoft Integration Gateway, que troca mensagens com sistemas remotos por meio de conectores de escuta e de destino. A primeira falha é uma SSRF no Integration Gateway, identificada como ZDI-CAN-31816. Segundo o texto, um invasor pode direcionar a solicitação ao endereço de loopback, o que satisfaz a validação, e controlar tanto a URL acessada quanto a carga útil enviada. Esse acesso serviria de ponto de apoio para alcançar endpoints vulneráveis à execução remota de código. Para verificar, consulte o relatório da Mandiant e o aviso de segurança da Oracle, que indicam versões afetadas e correções. Confirme o nível de patch do seu ambiente e revise registros de solicitações internas dirigidas ao endereço local.
Fonte original: CVE-2026-35273: de SSRF a RCE no Oracle PeopleSoft