ShinyHunters rompe PeopleSoft de nuevo
¿Tu empresa gestiona nóminas, finanzas o recursos humanos con Oracle PeopleSoft?
Hay una campaña de explotación masiva activa ahora mismo contra esos sistemas.
Mandiant y Google alertaron de que el exploit fue modificado para saltarse las protecciones WAF que muchas organizaciones creían tener activas y suficientes.
Lo que parecía una amenaza contenida al sector educativo se ha extendido a sanidad, administración pública, agricultura, transporte y tecnología. El perímetro se amplía cada día.
El parche existía, pero el ataque mutó para ignorarlo.
Todo empezó con el zero-day CVE-2026-35273, que permitía ejecutar código de forma remota sin autenticación en Oracle PeopleSoft. Los atacantes comprometieron más de cien organizaciones en junio. Ahora modificaron su exploit para eludir las reglas WAF que bloqueaban el endpoint vulnerable PSEMHUB, usando la codificación URL del carácter ‘P’ como ‘%50’ en la ruta de la petición.
El firewall creía estar protegiendo. No lo estaba.
El problema es técnicamente sutil pero devastador: muchas reglas WAF comparan la ruta antes de decodificarla, mientras que el servidor de PeopleSoft sí la decodifica antes de enrutar la petición. Eso deja una rendija por la que los atacantes cuelan sus peticiones y llegan al servlet vulnerable, aunque el equipo de seguridad esté convencido de tener el problema bajo control.
Decenas de sistemas ya tienen web shells instalados sin que nadie lo sepa.
Una vez dentro, los atacantes despliegan web shells JSP, el backdoor SideEye para robar credenciales de navegadores y aplicaciones, y herramientas de movimiento lateral como Neo-reGeorg y MeshCentral. Ejecutan comandos con privilegios de root o System y acceden a datos de aplicación, ficheros de configuración y cadenas de conexión a bases de datos.
Esto no es un problema de un solo sector.
La campaña ha saltado de universidades a organismos gubernamentales, hospitales, empresas agrícolas, proveedores de IT y compañías de transporte en varios países.
El exploit modificado funciona contra cualquier instalación sin parchear que confíe únicamente en su WAF.
En junio, más de cien clientes de PeopleSoft fueron comprometidos; víctimas confirmadas incluyen la University of Nottingham, el NAIC y Nissan.
El objetivo final es la extorsión.
Google advierte de que UNC6240 tiene un patrón consolidado: roba datos y amenaza con publicarlos en un sitio de filtraciones si la víctima no paga. Las organizaciones afectadas deben prepararse para recibir comunicaciones de extorsión y vigilar si sus datos aparecen expuestos públicamente.
El ataque al FBI abre otra dimensión.
En un ataque reciente dirigido al FBI, ShinyHunters afirmó haber usado un zero-day de PeopleSoft. Los investigadores de Mandiant y Google creen que podría tratarse del mismo exploit modificado, no de una vulnerabilidad nueva. Esto significa que el alcance real de CVE-2026-35273 podría ser mayor de lo esperado, y que organizaciones que asumían haber mitigado el riesgo con su WAF podrían estar expuestas sin saberlo.
El backdoor SideEye va mucho más allá del robo de contraseñas.
SideEye permite a los atacantes gestionar ficheros y procesos, obtener una reverse shell y configurar un reverse proxy dentro de la red comprometida. Combinado con MeshCentral como plataforma de gestión remota y Neo-reGeorg para el movimiento lateral, los atacantes construyen una presencia persistente y difícil de detectar desde dentro.
Oracle ya tiene el parche disponible: aplicarlo es urgente.
Las organizaciones con PeopleSoft deben aplicar el parche de Oracle para CVE-2026-35273 de inmediato, revisar sus entornos en busca de indicadores de compromiso y no asumir que su WAF actual basta para detener este exploit modificado.
Parchear no es opcional si usas PeopleSoft.
Google y Mandiant recomiendan también buscar activamente señales de robo de datos y preparar un protocolo de respuesta ante posibles comunicaciones de extorsión. Las cuentas de servicio de PeopleSoft y WebLogic deben auditarse para detectar accesos anómalos a datos de aplicación, ficheros de configuración y cadenas de conexión a bases de datos.
La ventana para actuar se cierra rápido.
Cada día sin parchear es un día en que los atacantes pueden instalar un web shell y comenzar a exfiltrar datos de tu organización sin que nadie lo note.
Qué hacer ahora
- ✓Aplica el parche de Oracle para CVE-2026-35273 en todos tus entornos.
- ✓Audita tus reglas WAF y busca indicadores de compromiso en logs.
- ✓Prepara un protocolo de respuesta ante posibles comunicaciones de extorsión.
¿Tu organización usa PeopleSoft y ya has verificado que el parche está aplicado?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
LiteLLM infectó 2.500 empresas
Passwork doma el caos NIS2
BitLocker toma empresas como rehenes
Hunt.io expone BraZetsu al descubierto
eMAPT conquista lo móvil
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
Riesgos y ataques que están ocurriendo justo ahora: vulnerabilidades siendo explotadas activamente, alertas oficiales de organismos de ciberseguridad, campañas de phishing o malware en marcha.
Información pensada para actuar y protegerte antes de que el problema te llegue a afectar.
RATING
9.1
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.