Thronos Canal de notícias de cibersegurançaConheça a Thronos

Vulnerabilidade

Oracle PeopleSoft e E-Business Suite: CVEs com CVSS 9,8 exploradas por ShinyHunters

Mandiant e o GTIG atribuem ao ShinyHunters a exploração de CVEs críticas com CVSS 9,8 no Oracle PeopleSoft e no Oracle E-Business Suite, corrigidas entre junho e outubro de 2026.

Por Bonam 8 min de leitura

Mandiant e o Google Threat Intelligence Group (GTIG) atribuíram ao grupo UNC6240, conhecido como ShinyHunters, a exploração de uma cadeia de três vulnerabilidades no Oracle PeopleSoft entre 27 de maio e 9 de junho de 2026, incluindo a CVE-2026-35273, com CVSS 9,8 [1]. Em 27 de outubro de 2026, a Defused Cyber registrou tentativas exploratórias contra a CVE-2026-101767, uma falha crítica de SQL injection no Oracle E-Business Suite, também com CVSS 9,8 [2][3][6].

Em resumo

  • CVE-2026-35273: a Oracle corrigiu, sob esse identificador, uma cadeia de três vulnerabilidades no Oracle PeopleSoft explorada pelo ShinyHunters em 10 de junho de 2026 [1].
  • A falha afeta o PeopleSoft Enterprise PeopleTools nas versões 8.61 e 8.62, permite remote code execution (RCE) sem autenticação e consta no catálogo KEV da CISA [1].
  • CVE-2026-101767: SQL injection sem autenticação no Oracle E-Business Suite, com CVSS 9,8, corrigida em 20 de outubro de 2026 [3][6].
  • O tráfego observado contra a CVE-2026-101767 foi classificado como exploração exploratória, sem confirmação de ataque bem-sucedido em ambiente de cliente [6].
  • A aplicação do patch fecha a vulnerabilidade, mas pode não remover atacantes que já tenham obtido acesso ao sistema [1][4].

O que fazer agora

  1. Aplique imediatamente o patch do Oracle E-Business Suite: o Critical Patch Update de outubro de 2026 corrige a CVE-2026-101767 nas instalações entre as versões 12.2.3 e 12.2.15 [3][6].
  2. Use mitigação temporária no E-Business Suite: se não for possível interromper o ambiente, remova /OA_HTML/AppsTCFServer da lista de permissões do firewall de URL e restrinja o web tier a redes confiáveis [2][6][7].
  3. Monitore o E-Business Suite: procure por requisições POST não autenticadas para /OA_HTML/AppsTCFServer que instanciem GanttDataServer, seguidas de atividade no banco de dados; verifique também arquivos inesperados em $APPLPTMP e a conta oracle gerando /bin/sh pelo Concurrent Manager [2][6].
  4. Instale a correção do PeopleSoft: aplique o patch do alerta de segurança fora da banda (out-of-band) publicado em 10 de junho de 2026 para o PeopleTools 8.61 ou 8.62 e permaneça em uma versão suportada [1].
  5. Desabilite o componente exposto como alternativa temporária: desative o Environment Management Hub em ambientes multi-servidor ou remova a aplicação PSEMHUB em ambientes de servidor único, conforme o alerta da Oracle [1].
  6. Trate sistemas como comprometidos: considere qualquer host com web shell comprometido, preserve as evidências e rotacione todas as credenciais alcançáveis a partir do tier do PeopleSoft [1].
  7. Não substitua o patch por bloqueio de caminho no WAF: a Mandiant afirma que o bloqueio por caminho não substitui a aplicação da correção [1].
  8. Revise as instâncias expostas do E-Business Suite: procure por sinais de comprometimento em instâncias expostas à internet e ainda não corrigidas, conforme a recomendação da Censys [7].

O que aconteceu

A ZDI reportou à Oracle três vulnerabilidades distintas em dois componentes do PeopleSoft e passou a trabalhar com a empresa para atribuir um identificador CVE separado a cada uma [1][4]. A Oracle corrigiu as três falhas sob a CVE-2026-35273 em junho de 2026 e, até a semana da publicação, esse identificador era o único que constava nos registros oficiais [1].

A análise técnica relacionou o problema a uma requisição forçada do lado do servidor (SSRF) capaz de alcançar a interface interna Environment Management Hub (PSEMHUB), porque o PeopleSoft confia por padrão no endereço de loopback 127.0.0.1 [1][4][5].

Mandiant e o Google Threat Intelligence Group (GTIG) atribuíram ao grupo UNC6240, conhecido como ShinyHunters, uma campanha que explorou a falha entre 27 de maio e 9 de junho, principalmente contra universidades [1]. Segundo a análise, como a campanha ocorreu antes do aviso de 10 de junho de 2026 da Oracle, a falha permaneceu como zero-day durante todo o período [1].

Em acompanhamento publicado em setembro de 2026, a Mandiant reportou uma nova onda, maior, que se espalhou para tecnologia, serviços de TI, saúde, agricultura, transporte e governo, além de afetar dezenas de sistemas no mundo [1][4].

A CVE-2026-101767 foi reportada à Oracle pela Horizon3.ai em 24 de julho de 2026 e permaneceu em sigilo até o pacote de correções de outubro [2][6]. A Oracle publicou a correção em 20 de outubro de 2026, e a Defused registrou tentativas exploratórias em 27 de outubro [2][3][6]. A Defused classificou o tráfego observado como exploração exploratória, sem confirmar invasão bem-sucedida em ambiente de cliente [6].

Quem é afetado

  • A CVE-2026-35273 afeta o Oracle PeopleSoft Enterprise PeopleTools nas versões 8.61 e 8.62 [1].
  • A CVE-2026-101767 afeta o componente Application Object Library nas versões 12.2.3 a 12.2.15 do Oracle E-Business Suite [6][7].
  • A campanha inicial contra o PeopleSoft atingiu principalmente instituições de ensino superior, e a onda observada em setembro de 2026 alcançou vários outros setores [1].
  • Sistemas E-Business Suite internos também podem ser explorados se o atacante alcançar o servlet vulnerável a partir de um sistema comprometido ou de outro segmento de rede acessível [2].
  • Dependendo da implantação, os dados alcançáveis pela falha no E-Business Suite podem incluir registros financeiros, de folha de pagamento, de RH e de compras [2].
  • O Shadowserver rastreia mais de 670 instâncias do Oracle E-Business Suite expostas à internet, a maioria com endereços IP dos Estados Unidos [3].
  • A Mandiant afirma que o ShinyHunters rouba dados e depois exige pagamento, portanto as organizações afetadas devem se preparar para extorsão [1].

Detalhes técnicos

  • CVE-2026-35273: tem CVSS 9,8 e permite que um atacante não autenticado assuma o servidor do PeopleSoft pela rede [1]. Segundo a cadeia relatada, a falha utiliza SSRF no PSIGW para alcançar o PSEMHUB e satisfazer o requisito de validação de host confiável [4].
  • Confiança no PSEMHUB: a análise técnica indica que o componente compara o solicitante com a lista do arquivo allowedhosts.properties, que vem de fábrica com o endereço de loopback 127.0.0.1 entre os hosts confiáveis [1].
  • Controle de acesso: a Oracle introduziu em junho de 2026 um método de validação de cliente para restringir o acesso a determinadas funcionalidades, mas um atacante em qualquer host confiável ainda consegue alcançar o PSEMHUB [4].
  • Primeira rota de exploração: segundo a rota relatada, um comando do PSEMHUB grava entradas de log e permite controlar o conteúdo e o caminho do arquivo, o que permite gravar um web shell no diretório da aplicação e executar comandos com a conta de serviço do PeopleSoft [1][4].
  • Segunda rota de exploração: a falha de escrita de arquivo permite gravar um XML malicioso em um diretório de configuração do PeopleSoft; quando o serviço reinicia, o Java XMLDecoder lê o arquivo e pode resultar em remote code execution (RCE) sem instalação de web shell [1][4].
  • Contorno de WAF: na onda de setembro, a Mandiant identificou o ShinyHunters contornando regras que bloqueavam /PSEMHUB/ por meio da codificação de URL de um único caractere, com requisição para /%50SEMHUB/ [1].
  • CVE-2026-101767: tem CVSS 9,8 na escala CVSS 3.1 e consiste em SQL injection no servlet do Thin Client Framework, alcançável por HTTP ou HTTPS sem credencial válida e sem interação do usuário [6].
  • Impacto da CVE-2026-101767: a exploração usa uma requisição manipulada ao servlet no caminho /OA_HTML/AppsTCFServer; o SQL injection permite executar comandos SQL com o usuário APPS e pode ser estendido para comandos no sistema operacional com a conta da aplicação [2][6].
  • Alcance dos dados: a falha permite ler ou modificar dados da aplicação acessíveis ao APPS e executar comandos no host da aplicação [2].
  • KEV: a CVE-2026-35273 consta no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA [1]. A CVE-2026-101767 não constava do catálogo na versão 2026.10.27, e a Oracle ainda não a havia classificado como explorada na natureza [3][6].
  • Histórico do E-Business Suite: segundo o histórico registrado, duas falhas críticas desse produto foram exploradas ativamente nos últimos dois anos, a CVE-2025-61882 e a CVE-2026-46817, ambas com CVSS 9,8; o uso da CVE-2025-61882 foi atribuído ao grupo de ransomware e extorsão Cl0p [2].

O que ainda não se sabe

  • Não está esclarecido se a aplicação do patch remove o acesso que o atacante já tenha obtido, e a correção, por si só, não expulsa alguém que já esteja dentro do sistema [1][4].
  • Até 28 de outubro de 2026, não havia relato público de exploração bem-sucedida da CVE-2026-101767; o tráfego registrado pela Defused foi classificado como exploratório [6].
  • A Oracle não havia respondido, até a publicação do The Register, sobre a documentação de exploração bem-sucedida da CVE-2026-101767 [4].
  • O ShinyHunters afirmou ao The Register que sequestrou mais de 100 organizações pelo zero-day do Oracle PeopleSoft, mas o número permanece como alegação do grupo, sem confirmação das vítimas apresentada no material [4].
  • A atribuição de um identificador CVE separado a cada uma das três vulnerabilidades do PeopleSoft ainda estava em negociação com a Oracle [1][4].
  • O Shadowserver não informa quantas das mais de 670 instâncias expostas do Oracle E-Business Suite são honeypots ou já estavam protegidas [3].

Linha do tempo

  • 27 de maio de 2026 — Começou a campanha do ShinyHunters contra o Oracle PeopleSoft, atribuída pela Mandiant e pelo GTIG, que durou até 9 de junho [1].
  • 10 de junho de 2026 — A Oracle lançou o alerta de segurança fora da banda com a correção da CVE-2026-35273 [1].
  • 24 de julho de 2026 — A Horizon3.ai reportou a falha do Oracle E-Business Suite que posteriormente receberia a CVE-2026-101767 [2][6].
  • 20 de outubro de 2026 — A Oracle publicou as atualizações de segurança para a CVE-2026-101767 no Critical Patch Update de outubro de 2026 [3][6].
  • 27 de outubro de 2026 — A Defused registrou tentativas exploratórias contra a CVE-2026-101767; o catálogo KEV da CISA na versão 2026.10.27 ainda não incluía a falha [2][3][6].
  • 28 de outubro de 2026 — Até essa data, não havia outro relato público de exploração bem-sucedida da CVE-2026-101767 [6].

Fontes

  1. ShinyHunters-Exploited Oracle PeopleSoft Zero-Day Turns Out to Be Three Chained Flaws — thehackernews.com, 2026-10-28
  2. Hackers Target Critical Oracle E-Business Suite RCE Flaw Days After Security Patch — thehackernews.com, 2026-10-28
  3. Varredura ativa contra falha recém-corrigida no Oracle EBS — cisoadvisor.com.br, 2026-10-28
  4. Oracle celebrates end of Cybersecurity Awareness Month with quadruple trouble — theregister.com, 2026-10-28
  5. ShinyHunters: criminosos abusaram de três falhas em ataque inédito a Oracle — estadao.com.br, 2026-10-28
  6. Cibercriminosos exploram falha crítica de RCE no Oracle E-Business Suite — boletimsec.com, 2026-10-29
  7. Exploitation attempts against recently patched Oracle EBS flaw have begun (CVE-2026-101767) — helpnetsecurity.com, 2026-10-29