ShinyHunters Explotó una Cadena de 3 Fallos en Oracle PeopleSoft
Los atacantes utilizaron una cadena de tres vulnerabilidades para explotar Oracle PeopleSoft. Las fallas fueron parcheadas como CVE-2026-35273 en junio.
Resumen
- ShinyHunters explotó un zero-day en Oracle PeopleSoft desde mayo de 2026.
- La vulnerabilidad era en realidad tres fallos separados encadenados.
- En el núcleo había un SSRF que llevó al acceso de una interfaz de gestión interna.
- Oracle abordó los tres problemas bajo un único parche: CVE-2026-35273.
- Las organizaciones deben asegurarse de haber aplicado las actualizaciones de junio de PeopleSoft.
En un descubrimiento reciente, el grupo de amenazas ShinyHunters aprovechó no uno sino tres fallos distintos dentro de Oracle PeopleSoft para llevar a cabo sus ataques. Estas vulnerabilidades, que permitieron a los atacantes realizar una falsificación de solicitudes del lado del servidor (SSRF), se encadenaron para evadir protecciones y acceder a sistemas internos.
Aunque inicialmente se trató como una única vulnerabilidad zero-day, los investigadores confirmaron posteriormente que CVE-2026-35273 cubría en realidad una secuencia de debilidades. El componente más crítico involucró un fallo SSRF que aprovechaba la confianza de PeopleSoft en su propia dirección de bucle invertido (loopback), exponiendo una interfaz de gestión interna a una explotación remota.
Desglose de las Vulnerabilidades
- El problema principal fue un SSRF (falsificación de solicitud del lado del servidor) dirigido a servicios internos.
- PeopleSoft confiaba incorrectamente en las solicitudes originadas desde su propia dirección de bucle local, permitiendo un acceso más profundo al sistema.
- Dos fallos adicionales ayudaron a escalar privilegios y mantener acceso persistente durante la cadena de ataque.
- Los tres componentes fueron parcheados colectivamente por Oracle en junio de 2026 bajo CVE-2026-35273.
Impacto y Mitigación
- Las organizaciones que utilizan Oracle PeopleSoft deben verificar que los parches de junio de 2026 estén completamente desplegados.
- Las instancias sin parchear siguen siendo vulnerables a ataques similares basados en SSRF dirigidos a interfaces internas.
- Los equipos de seguridad deberían auditar aplicaciones web en busca de relaciones de confianza inadecuadas con servicios locales.
- Monitorear tráfico saliente inusual tipo SSRF puede ayudar a detectar intentos activos de explotación.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.