Cibercriminosos driblam WAF para explorar falha crítica no Oracle PeopleSoft
Uma campanha de ataques contra sistemas Oracle PeopleSoft usa uma alteração quase imperceptível na URL para contornar filtros de segurança e explorar uma vulnerabilidade crítica. Identificada pela Mandiant, a atividade mira o Environment Management Hub, conhecido como PSEMHUB, e pode permitir que invasores executem código remotamente sem autenticação.
A falha, registrada como CVE-2026-35273, recebeu nota 9,8 na escala CVSS, que avalia a gravidade de vulnerabilidades. O aspecto mais relevante desta nova onda é a forma de escapar de WAFs – firewalls de aplicações web – e de mecanismos de proxy reverso: os criminosos substituem o trecho `/PSEMHUB/` por `/%50SEMHUB/` no caminho da requisição. Como `%50` representa a letra “P” em uma URL codificada, o destino final continua sendo o mesmo.
A técnica funciona porque algumas soluções de proteção verificam o caminho da requisição antes de decodificar caracteres percentuais. Assim, a regra pode não reconhecer a sequência alterada como acesso ao PSEMHUB. Já o servidor PeopleSoft interpreta a codificação, recupera o caminho original e encaminha a solicitação ao componente vulnerável.
Na etapa de exploração, os invasores enviam requisições POST para `/%50SEMHUB/hub`, contendo objetos Java serializados. A falha no processamento desses dados permite avançar para a execução de código no servidor. Em seguida, os atacantes instalam dois web shells em JSP dentro do diretório do arquivo PSEMHUB.war, criando meios de controlar o ambiente comprometido.
Os arquivos cumprem funções diferentes. O `x.jsp` permite executar comandos em mais de uma plataforma. O `u.jsp`, por sua vez, aceita o envio de arquivos em partes e pode acionar comandos por meio do `cmd.exe`. Com esses recursos, os invasores conseguem manter acesso ao sistema e realizar novas ações sem depender exclusivamente da exploração inicial.
A campanha também busca estabelecer persistência e ampliar o controle sobre as máquinas invadidas. Para isso, os operadores enviam um instalador adulterado chamado Ple64.exe, que carrega o backdoor SIDEEYE. A sequência inclui ainda a instalação do túnel Neo-reGeorg e do MeshAgent, ferramenta de administração remota que pode ser usada para interagir com os dispositivos comprometidos.
A atividade é atribuída ao grupo UNC6240, associado ao ShinyHunters. A operação teria começado em junho de 2026, com exploração de dia zero contra instituições de ensino. Na nova fase, os alvos se espalharam por setores como educação superior, tecnologia, saúde, agricultura, transporte e governo.
A escala da operação chama atenção: web shells foram encontrados em dezenas de sistemas, e cerca de um quarto dos comandos executados teria usado privilégios de root ou SYSTEM. Esse nível de acesso pode facilitar a instalação de ferramentas adicionais, a movimentação dentro da rede e o acesso a informações sensíveis.
Como reduzir o risco em ambientes PeopleSoft
Organizações que utilizam PeopleSoft devem tratar a exposição do PSEMHUB como uma prioridade de segurança. O primeiro passo é identificar quais servidores estão acessíveis pela internet e avaliar se o componente está ativo em sistemas que não precisam receber conexões externas. Restringir o acesso a redes confiáveis reduz a superfície de ataque.
Também é importante revisar as regras do WAF e do proxy reverso para que a inspeção considere caminhos de URL normalizados e decodificados. A proteção não deve depender apenas da comparação literal da requisição: formas codificadas de um mesmo endereço precisam ser avaliadas de maneira consistente, sem abrir exceções que permitam alcançar o servlet vulnerável.
As equipes de segurança devem procurar sinais de atividade anormal nos registros do servidor, incluindo requisições POST dirigidas a caminhos semelhantes a `/%50SEMHUB/hub`. A busca também deve abranger arquivos JSP inesperados no diretório do PSEMHUB.war, processos incomuns, conexões de saída não autorizadas e a presença de Ple64.exe, SIDEEYE, Neo-reGeorg ou MeshAgent.
Se houver indícios de comprometimento, bloquear a requisição suspeita pode não ser suficiente. É necessário isolar os sistemas afetados, preservar registros para investigação e verificar se houve criação de contas, alteração de arquivos ou acesso a outros servidores. Como os invasores podem obter privilégios elevados, a análise deve incluir todo o ambiente conectado, e não apenas a máquina inicialmente atingida.
A aplicação de correções oficiais deve ser acompanhada de validação técnica, testes e monitoramento. O relatório da campanha não informa a disponibilidade de uma correção da Oracle para a vulnerabilidade. Por isso, administradores devem confirmar o status do suporte e dos avisos de segurança do produto, enquanto adotam medidas compensatórias, como limitar a exposição do serviço, reforçar a filtragem e manter cópias de segurança protegidas.