Sem senha, invasores alcançaram servidores corporativos pelo Oracle PeopleSoft

A Oracle corrigiu o problema em junho, mas a análise técnica publicada em 27 de outubro identificou três falhas encadeadas no sistema.

Uma falha crítica no Oracle PeopleSoft permitiu que o grupo ShinyHunters chegasse à execução de comandos em servidores sem precisar de senha. A análise técnica publicada em 27 de outubro pelo Zero Day Initiative (ZDI) mostrou que o problema, registrado como CVE-2026-35273, combina três vulnerabilidades em componentes do sistema. A campanha contra organizações começou em maio, segundo pesquisadores de segurança.

O caminho começava por uma requisição interna

O ataque explorava o PeopleSoft Integration Gateway, usado para trocar mensagens entre o sistema e outros serviços. Uma vulnerabilidade de falsificação de requisição do lado do servidor, conhecida pela sigla SSRF, deixava o invasor induzir o próprio PeopleSoft a enviar pedidos para endereços internos.

O detalhe importante é que uma dessas interfaces internas aceitava conexões vindas do endereço local do servidor, o chamado localhost. Como o pedido malicioso parecia ter origem ali, conseguia passar por uma checagem criada para restringir o acesso ao ambiente de gerenciamento.

A partir desse ponto, o atacante podia chegar ao PSEMHUB, outro componente do PeopleSoft. O encadeamento transformava uma falha de acesso em uma rota para executar código no servidor, sem autenticação. A pontuação de gravidade informada para a CVE é 9,8 em 10.

Duas formas de avançar dentro do sistema

Uma das vulnerabilidades no PSEMHUB permitia gravar arquivos em locais escolhidos pelo invasor. O recurso havia sido pensado para registrar mensagens em arquivos de log, mas não validava adequadamente o caminho de destino. Isso podia ser usado para colocar um arquivo malicioso na aplicação e executar comandos com os privilégios do serviço PeopleSoft.

A terceira falha envolvia o processamento de arquivos XML não confiáveis durante a inicialização do componente. Um arquivo preparado pelo atacante podia disparar a execução de código quando o serviço fosse reiniciado. Esse caminho, segundo a análise do ZDI, não dependia de instalar o mesmo tipo de arquivo usado na outra técnica.

Na prática, não era uma única brecha isolada: uma abria a passagem para a rede interna e as outras permitiam transformar esse acesso em controle do servidor. A combinação torna relevante revisar não só o ponto exposto à internet, mas também as interfaces internas e as permissões concedidas à conta que executa o PeopleSoft.

O que as organizações precisam fazer

A Oracle publicou uma correção de segurança em junho para PeopleSoft Enterprise PeopleTools nas versões 8.61 e 8.62. A empresa classifica a vulnerabilidade como explorável remotamente sem autenticação e recomenda aplicar a mitigação com prioridade. Organizações que usam o sistema devem confirmar se o pacote foi instalado e verificar registros de acesso em busca de atividade suspeita.

O ZDI identificou três problemas técnicos distintos, embora a Oracle os tenha tratado sob um único identificador, CVE-2026-35273. O grupo de pesquisa disse que estava coordenando com a fabricante a atribuição de identificadores separados. Para as equipes de segurança, essa diferença ajuda a entender que a correção precisa cobrir a cadeia inteira, e não apenas bloquear uma técnica específica.

Pesquisadores também relataram exploração contra instituições de ensino e, depois, organizações de outros setores. Ainda assim, a existência da vulnerabilidade não significa que todos os clientes tiveram dados roubados. As informações públicas confirmam a possibilidade de controle remoto dos servidores, mas não detalham um balanço consolidado de dados extraídos em cada incidente. O impacto concreto depende do ambiente afetado e do que as equipes encontrarem na investigação.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: