Google / Mandiant détecte une nouvelle vague d'exploitation de CVE-2026-35273 dans Oracle PeopreSoft SAFMHUB

L'équipe de réponse de Google et Mandiant a détecté une nouvelle vague d'exploitation de masse contre la vulnérabilité critique d'Oracle PeopleSoft identifié comme CVE-2026-35273(CVSS 9.8). Selon l'analyse publique, les attaquants profitent d'une défaillance de désactivation dans le service SPPMHUB pour réaliser l'exécution à distance sans authentification, déployer des portes arrière et des données d'exfiltre de plusieurs secteurs. Ces faits ont été décrits par les sociétés de sécurité enquêtant sur les incidents; ce qui suit est un résumé technique, l'impact attendu et les mesures concrètes que les organisations et les gestionnaires devraient prendre maintenant.

Ce qui s'est passé (faits confirmés): Des chercheurs de Google / Mandiant ont rapporté qu'un acteur de piste comme UNC6240 - lié par l'industrie à la famille ShinyHunters dans cette campagne - a modifié une explosion pour CVE-2026-35273 et a commencé à l'exploiter à grande échelle. La technique d'évitement consistait à encoder la lettre "P" sur la route vulnérable, demandant "/% 50SEMHUB / hub" au lieu de "/ PSEMHUB / hub", ce qui a permis à de nombreuses règles WAF et à des procurations inversées basées sur une coïncidence littérale de ne pas détecter la demande; le serveur d'application PeopreSoft décodifie la route et l'envoie à la servlet vulnérable, où une charge utile de désactivation Java provoque l'exécution de code. Après cet accès initial, les attaquants ont déployé des shells JSP, chargé un installateur cassé et signé (Ple64.exe) qui injecte une porte arrière de mémoire appelée SIDEEYE, utilisé Neo-reGeorg pour le réglage et MeshAgent (MeshCentral) pour la persistance dans les systèmes Linux. Les victimes signalées sont l ' enseignement supérieur, la technologie, la santé, les transports, l ' agriculture et les organismes publics.

Comment cela fonctionne techniquement (chaîne d'attaque confirmée): le vecteur est l'opération de désactivation Java dans la servette du hub SAFMHUB en utilisant des POST contenant des objets Java sérialisés malveillants. Pour échapper à la WAF, la route est envoyée avec « % 50 » (l'encodage ASCII pour « P ») afin que les systèmes intermédiaires qui font la correspondance avant le décodage ne reconnaissent pas le motif malveillant. Une fois exploité, l'attaquant laisse généralement deux shells web JSP (x.jsp et u.jsp) sur SPPMHUB.war : l'un facilite l'exécution de la commande multiplateforme et l'autre permet de télécharger des fragments de fichiers et d'exécuter cmd.exe sur Windows. Avec ces capacités, ils vont jusqu'à Ple64.exe (signé apparemment légitime) qui charge la porte arrière de SIDEEYE dans la mémoire et ouvre la communication TCP avec les serveurs externes (par exemple, l'IP observé 162.219.30 [.] 165), facilitant le vol des identifiants de navigateur / bureau, la gestion de processus / fichier et les shells inversés. Ils utilisent également Neo-reGeorg pour régler le trafic et MeshAgent pour un accès légitime à distance comme moyen de persistance.

Qui il affecte et pourquoi il importe: affecte Oracle People Des déploiements souples qui ont permis le module de gestion de l'environnement (EMHub / PSEMHUB), en particulier des installations à un seul serveur ou des configurations multi-serveurs qui n'ont pas appliqué les correctifs. Les comptes et les bases de données qui contiennent PeopleSoft contiennent souvent des informations sensibles (RRH, paie, dossiers des étudiants, données cliniques) de sorte que le risque principal est le vol de données de masse et l'extorsion possible par diffusion publique. En outre, la combinaison de l'exécution en tant que SYSTEM / racine (environ 25% des commandes observées) et la persistance via RMM ou backdoors facilite les mouvements latéraux et compromet l'intégrité de l'ensemble de l'infrastructure.

Conséquences réelles (confirmées et probables): confirmé par les chercheurs est la mise en œuvre de shells web, backdoors en mémoire et l'utilisation de RMM; l'exfiltration et la préparation à l'extorsion (modèle d'acteur habituel) a également été observée. Probablement : publication de données volées sur les sites d'évasion et les campagnes d'extorsion pour les victimes; impact opérationnel en raison du manque de services PeopleSoft et des coûts élevés de remise en état dus à la nécessité de reconstruire les systèmes engagés. Toujours incertain : portée totale du vol de données chez chaque victime et question de savoir si tous les incidents sont liés à la même activité ou à des variantes de l'explosion.

Ce qui prouve que vous êtes en conflit: est vérifié par Mandiant / Google qu'il y a une exploitation active de CVE-2026-35273 et que les attaquants utilisent des techniques d'évitement WAF, des coquilles web et des outils tels que Neo-reGeorg et MeshAgent. L'attribution finale à ShinyHunters dans tous les incidents et les déclarations publiques du groupe sur d'autres intrus (par exemple, une déclaration concernant une attaque présumée sur le portail d'emploi du FBI a été diffusée par des moyens tels que The Hacker News et The Register, mais de telles déclarations externes nécessitent une vérification supplémentaire par les autorités). Voir les rapports techniques officiels et les avis pour les confirmations principales: Mandiant / Google et la page Oracle pour PeopleSoft.

https: / / www.mandiant.com / ressources / blog(ressources de recherche et blogs d'intervention) et https: / / www.oracle.com / applications / peoplesoft-enterprise /(Documentation d'Oracle et avis) sont des points de départ pour la validation technique et les correctifs. Pour connaître les vulnérabilités critiques et les obligations réglementaires, voir le catalogue des vulnérabilités exploitées par les acteurs connus de la CISA : https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog.

Mesures spécifiques et urgentes(Check opérationnel liste que l'équipement informatique / de sécurité devrait maintenant s'appliquer): appliquer immédiatement le correctif publié qui corrige CVE-2026-35273; si ce n'est pas possible, désactiver le service Hub de gestion de l'environnement dans des environnements multi-serveurs ou supprimer PSEMMHUB dans des installations de serveur unique. Rechercher le journal de bord de WebLogic et proxy toutes les demandes à "/ SPPMHUB /" et toute variante avec encodage en pourcentage (p. ex. "/% 50SEMHUB /"); examiner le répertoire SPPMHUB.war par des JSP non légitimes (x.jsp, u.jsp ou autres). Détecter et isoler les hôtes avec des processus MeshAgit ou des communications avec des IP suspects (162.219.30 [.] 165 a été observé dans la campagne). Suivi des exécutables appelés Ple64.exe, anomalie signée, et toute utilisation de Neo-reGeorg ou de tunnels inversés. Faites pivoter les identifiants accessibles à partir du compte de service PeopleSoft et forcez les changements aux mots de passe de compte de service et d'administrateur; activez MFA dans la mesure du possible. Examiner les fichiers de bases de données pour les requêtes de masse ou les exportations sur les tables sensibles (RDH, paie, étudiants) et rechercher des fichiers importants dans / tmp ou dans les répertoires web qui pourraient contenir des braindumps. Dans le cas d'une détection d'engagement, envisager la reconstruction à partir d'images propres et la vérification des sauvegardes; documenter le calendrier de l'intrusion pour les notifications réglementaires et préparer l'extorsion éventuelle.

Recommandations supplémentaires concernant la défense: ajuster les règles WAF pour comparer les itinéraires après canonicalisation / décodage ou insérer des signatures spécifiques pour détecter "% 50SEMHUB" et des variantes; mettre en œuvre des règles EDR pour détecter les dangereux dépérissements Java et les modèles de shell web JSP; segmenter le réseau pour limiter la capacité de mouvement latéral par SSH et réduire la portée des comptes de service. Préparer des cahiers de lecture pour répondre à l'extorsion de données : préserver les éléments de preuve, coordonner avec les lois et les communications et ne pas payer sans évaluation médico-légale et juridique.

Résumé final : l'exploitation du CVE-2026-35273 est active et s'est avérée efficace par la combinaison de l'évasion du WAF, de la dégénérescence Java et de l'utilisation d'outils de persistance / backdoor qui facilitent le vol et l'extorsion. Les organisations utilisant PeopleSoft devraient prioriser les correctifs et rechercher des indicateurs de compromis dès maintenant; la détection rapide et la rotation des références sont essentielles pour limiter l'impact et être en mesure de reconstruire avec des garanties.