ShinyHunters-Exploited Oracle PeopleSoft Zero-Day Turns Out to Be Three Chained Flaws

Investigaciones de Google y Mandiant revelaron que el grupo de cibercriminales ShinyHunters ha lanzado una nueva campaña de ataques contra Oracle PeopleSoft. Los atacantes están utilizando un truco de codificación de URL para evadir los firewalls de aplicaciones web (WAF), los cuales se habían configurado como una medida temporal para bloquear el acceso a la ruta vulnerable.

El fallo, identificado como CVE-2026-35273, afecta a las versiones 8.61 y 8.62 de PeopleSoft Enterprise PeopleTools. Aunque Oracle lanzó un parche en junio, los atacantes están usando una variante de la ruta (como '/%50SEMHUB/' en lugar de '/PSEMHUB/') para que el firewall no detecte el ataque, pero el servidor sí lo procese, permitiendo la ejecución de código de forma remota sin necesidad de iniciar sesión.

Se ha detectado el uso de un nuevo malware llamado SIDEEYE en servidores Windows comprometidos. Este código de ataque puede robar credenciales, gestionar archivos y procesos, y permitir el control total del equipo. Además, se ha reportado que los ataques han pasado de afectar principalmente a universidades a impactar sectores de salud, transporte, agricultura y gobierno en todo el mundo.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza Oracle PeopleSoft, no confíe únicamente en que su firewall esté bloqueando rutas específicas; los atacantes ya saben cómo saltarse esa protección. La única solución real es instalar el parche de seguridad para el CVE-2026-35273. Si no puede actualizar de inmediato, debe desactivar el servicio 'Environment Management Hub' (PSEMHUB) para cerrar la puerta de entrada.