Google/Mandiant detectan nueva oleada de explotación de CVE-2026-35273 en Oracle PeopleSoft PSEMHUB

Google y el equipo de respuesta de Mandiant han detectado una nueva oleada de explotación masiva contra una vulnerabilidad crítica de Oracle PeopleSoft identificada como CVE-2026-35273 (CVSS 9.8). Según los análisis públicos, los atacantes están aprovechando una falla de deserialización en el servlet PSEMHUB para lograr ejecución remota sin autenticación, desplegar puertas traseras y exfiltrar datos de múltiples sectores. Estos hechos han sido descritos por las firmas de seguridad que investigan los incidentes; lo que sigue es un resumen técnico, el impacto esperado y pasos concretos que las organizaciones y administradores deben tomar ahora.

Qué ha ocurrido (hechos confirmados): investigadores de Google/Mandiant informaron que un actor rastreado como UNC6240 —vinculado por parte de la industria a la familia ShinyHunters en esta campaña— modificó un exploit para CVE-2026-35273 y empezó a explotarlo a gran escala. La técnica de evasión consistió en URL-encodear la letra “P” en la ruta vulnerable, solicitando "/%50SEMHUB/hub" en lugar de "/PSEMHUB/hub", lo que permitió que muchas reglas de WAF y proxies reversos basadas en coincidencia literal no detectaran la petición; el servidor de aplicaciones PeopleSoft decodifica la ruta y la envía al servlet vulnerable, donde una carga útil de deserialización Java provoca ejecución de código. Tras ese acceso inicial los atacantes han desplegado web shells JSP, cargado un instalador troceado y firmado (Ple64.exe) que inyecta un backdoor en memoria denominado SIDEEYE, usado Neo-reGeorg para tunelización y MeshAgent (MeshCentral) para persistencia en sistemas Linux. Las víctimas notificadas abarcan educación superior, tecnología, salud, transporte, agricultura y organismos públicos.

Cómo funciona técnicamente (cadena de ataque confirmada): el vector es explotación de deserialización Java en PSEMHUB hub servlet mediante POSTs que contienen objetos Java serializados maliciosos. Para evadir WAF, se envía la ruta con "%50" (la codificación de ASCII para 'P') de modo que sistemas intermedios que hacen matching antes de decodificar no reconozcan el patrón malicioso. Una vez explotado, el atacante suele dejar dos web shells JSP (x.jsp y u.jsp) en PSEMHUB.war: uno facilita ejecución de comandos cross‑platform y el otro permite subir fragmentos de archivos y ejecutar cmd.exe en Windows. Con esas capacidades suben Ple64.exe (firmado aparentemente legítimo) que carga en memoria el backdoor SIDEEYE y abre comunicación TCP con servidores externos (por ejemplo, el IP observado 162.219.30[.]165), facilitando robo de credenciales de navegador/escritorio, manejo de procesos/archivos y shells reversos. También usan Neo‑reGeorg para tunelizar tráfico y MeshAgent para acceso remoto legítimo como medio de persistencia.

A quién afecta y por qué importa: afecta a despliegues de Oracle PeopleSoft que tengan habilitado el módulo Environment Management (EMHub/PSEMHUB), especialmente instalaciones de un solo servidor o configuraciones multi‑servidor que no hayan aplicado los parches. Las cuentas y bases de datos que aloja PeopleSoft suelen contener información sensible (RRHH, nóminas, expedientes estudiantiles, datos clínicos) por lo que el riesgo principal es el robo masivo de datos y la posible extorsión por difusión pública. Además, la combinación de ejecución como SYSTEM/root (aprox. 25% de comandos observados) y persistencia vía RMM o backdoors facilita movimientos laterales y compromete la integridad de toda la infraestructura.

Consecuencias reales (confirmadas y probables): confirmadas por los investigadores está la implantación de web shells, backdoors en memoria y uso de RMM; también se ha observado exfiltración y preparación para extorsión (patrón habitual del actor). Probable: publicación de datos robados en sitios de fuga y campañas de extorsión a las víctimas; impacto operativo por indisponibilidad de servicios PeopleSoft y costes de remediación elevados por necesidad de reconstrucción de sistemas comprometidos. Aún incierto: alcance total del robo de datos en cada víctima y si todos los incidentes están ligados a la misma actoría o a variantes del exploit.

Qué es comprobado vs. qué está en disputa: es comprobado por Mandiant/Google que existe explotación activa de CVE‑2026‑35273 y que los atacantes usan técnicas de evasión de WAF, web shells y toolsets como Neo‑reGeorg y MeshAgent. Menos confirmado de forma independiente es la atribución definitiva a ShinyHunters en todos los incidentes y las afirmaciones públicas del grupo sobre otros intrusos (por ejemplo, una declaración sobre un supuesto ataque al portal de empleo del FBI fue divulgada por medios como The Hacker News y The Register, pero esas afirmaciones externas requieren verificación adicional por parte de las autoridades). Consulte los reportes técnicos y avisos oficiales para las confirmaciones primarias: Mandiant/Google y la página de Oracle para PeopleSoft.

https://www.mandiant.com/resources/blog (recursos de investigación y blogs de incident response) y https://www.oracle.com/applications/peoplesoft-enterprise/ (documentación y avisos de Oracle) son puntos de partida para validación técnica y parches. Para contexto sobre vulnerabilidades críticas y obligaciones regulatorias consulte el catálogo de vulnerabilidades explotadas por actores conocidos de CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog.

Acciones concretas y urgentes (lista de verificación operativa que los equipos IT/seguridad deben aplicar ahora): aplicar inmediatamente el parche publicado que corrige CVE‑2026‑35273; si no es posible, deshabilitar el servicio Environment Management Hub en entornos multi‑servidor o quitar PSEMHUB en instalaciones de servidor único. Buscar en logs de WebLogic y proxies todas las solicitudes a "/PSEMHUB/" y cualquier variante con percent‑encoding (por ejemplo "/%50SEMHUB/"); revisar el directorio PSEMHUB.war por JSPs no legítimos (x.jsp, u.jsp u otros). Detectar y aislar hosts con procesos MeshAgent o comunicaciones hacia IPs sospechosas (162.219.30[.]165 fue observada en la campaña). Rastrear ejecutables llamados Ple64.exe, firmados anómalamente, y cualquier uso de Neo‑reGeorg o túneles reversos. Rotar credenciales accesibles por la cuenta de servicio de PeopleSoft y forzar cambios de contraseñas de cuentas de servicio y de administrador; activar MFA donde sea posible. Revisar registros de base de datos para consultas masivas o exportaciones sobre tablas sensibles (RRHH, nóminas, estudiantes) y buscar archivos de gran tamaño en /tmp o directorios web que podrían contener dumps. En caso de detección de compromiso, contemple la reconstrucción desde imágenes limpias y verificación de backups; documente la línea temporal de la intrusión para notificaciones regulatorias y preparación ante posibles extorsiones.

Recomendaciones de defensa adicionales: ajuste las reglas WAF para que comparen rutas después de la canonicalización/decodificación o inserte firmas específicas para detectar "%50SEMHUB" y variantes; implemente reglas de EDR para detectar deserialización Java peligrosa y patrones de web shell JSP; segmente la red para limitar la capacidad de movimiento lateral por SSH y reduzca el alcance de las cuentas de servicio. Prepare playbooks para respuesta a extorsión de datos: preservar evidencias, coordinar con legal y comunicaciones y no pagar sin evaluación forense y legal.

Resumen final: la explotación de CVE‑2026‑35273 es activa y ha demostrado ser eficaz por la combinación de evasión de WAF, deserialización Java y uso de herramientas de persistencia/backdoor que facilitan robo y extorsión. Las organizaciones que usan PeopleSoft deben priorizar parches y búsqueda de indicadores de compromiso ahora mismo; la detección rápida y la rotación de credenciales son esenciales para limitar impacto y poder reconstruir con garantías.