Un carattere codificato, una porta privilegiata: il bypass PeopleSoft che continuava a muoversi

Nella sicurezza aziendale, le sorprese pericolose sono spesso piccole. In questo caso, la differenza tra una richiesta bloccata e un'intrusione funzionante si è ridotta a un singolo carattere codificato nel percorso. Quel dettaglio conta perché il bersaglio non era una semplice pagina web, ma un componente di gestione progettato per coordinare comandi e aggiornamenti all'interno delle distribuzioni PeopleSoft.

Fatti rapidi

• CVE-2026-35273 interessa Oracle PeopleSoft PeopleTools ed è descritto come sfruttabile da remoto senza autenticazione.
• L'attività rinnovata utilizza una lieve modifica dell'exploit che potrebbe aggirare alcune regole del firewall applicativo web.
• Gli analisti tracciano l'attività come UNC6240 e la collegano al marchio ombrello ShinyHunters.
• Secondo quanto riferito, web shell sono state trovate su decine di sistemi in più settori, tra cui istruzione superiore, tecnologia e servizi IT.
• La superficie esposta è l'Environment Management Hub, spesso chiamato PSEMHUB, un endpoint di gestione privilegiato.

Perché il bypass funziona

La debolezza tecnica si trova nel divario tra il testo grezzo della richiesta e la normalizzazione eseguita dal backend. Una regola basata sul percorso letterale, mirata a /PSEMHUB/, può non rilevare /%50SEMHUB/ se il dispositivo di sicurezza effettua il confronto prima della decodifica URL. Il server PeopleSoft poi decodifica il percorso e lo instrada verso lo stesso endpoint di gestione. Non si tratta di una magia, ma di una discrepanza nel modo in cui componenti diversi interpretano la stessa richiesta.

Oracle assegna alla falla una valutazione critica e la descrive come un problema raggiungibile via rete con rischio di esecuzione di codice remoto. In pratica, questo rende il piano di gestione il vero obiettivo. Una volta ottenuto un punto d'appoggio lato server, le web shell possono offrire un modo duraturo per rientrare, soprattutto se i difensori non hanno ancora cercato script insoliti, log di accesso o richieste POST anomale verso percorsi legati all'hub.

La lezione più ampia è scomoda: le regole WAF possono ridurre il rumore, ma non correggono una vulnerabilità di esecuzione di codice senza autenticazione. Se una distribuzione espone ancora l'interfaccia vulnerabile, agli attaccanti può bastare una piccola variazione di codifica per superare un controllo che sulla carta sembrava solido.

Cosa dovrebbero monitorare i difensori

Le indicazioni di Oracle e l'analisi di threat intelligence puntano prima alla correzione, poi alla riduzione dell'esposizione del componente di gestione. Per gli ambienti multi-server, la disabilitazione di EMHub fa parte della strategia di hardening; per le distribuzioni a server singolo, la rimozione di PSEMHUB è la scelta più sicura. I team dovrebbero anche verificare reverse proxy e WAF alla ricerca di lacune di canonicalizzazione, perché le regole che ispezionano solo l'URL grezzo possono non cogliere varianti decodificate.

Al momento della pubblicazione, il meccanismo della vulnerabilità è chiaro, ma l'attribuzione e la portata completa dei sistemi interessati restano basate sulla valutazione del vendor e potrebbero cambiare man mano che emergono nuove prove. Ed è proprio per questo che questo caso conta: il percorso d'attacco è abbastanza semplice da copiare, ma abbastanza sottile da ingannare i difensori che si fidano troppo di un solo livello di controllo.

Conclusione

La lezione di PeopleSoft è più grande di una singola famiglia di exploit. Le interfacce di gestione non sono porte secondarie; sono asset di alto valore che meritano priorità nelle patch, scrutinio dei log e riduzione dell'esposizione. Quando un singolo byte codificato può superare una regola di sicurezza, la resilienza dipende dalla comprensione di come le richieste vengano normalizzate fino al backend.

WIKICROOK

• CVE: identificatore pubblico per una specifica vulnerabilità di sicurezza.
• WAF: dispositivo o servizio di sicurezza che filtra e monitora il traffico HTTP da e verso un'applicazione web.
• Codifica URL: un modo di rappresentare i caratteri in un indirizzo web affinché possano essere trasmessi in modo sicuro e coerente.
• Web shell: uno script lato server che può fornire a un aggressore l'esecuzione remota di comandi su un host compromesso.
• Piano di gestione: il livello amministrativo usato per configurare, controllare e monitorare sistemi o servizi.