Google/Mandiant detectam nova onda de exploração de CVE-2026-35273 no Oracle PeopleSoft PSEMHUB

Google e equipe de resposta de Mandiant detectaram uma nova onda de exploração em massa contra uma vulnerabilidade crítica do Oracle PeopleSoft identificada como CVE-2026-35273(CVSS 9.8). Segundo as análises públicas, os atacantes estão aproveitando uma falha de deserialização no servlet PSEMHUB para conseguir execução remota sem autenticação, implantar portas traseiras e exfiltrar dados de múltiplos setores. Esses fatos foram descritos pelas assinaturas de segurança que investigam os incidentes; o que segue é um resumo técnico, o impacto esperado e passos concretos que as organizações e administradores devem tomar agora.

O que aconteceu (fatos confirmados): pesquisadores do Google/Mandiant informaram que um ator rastreado como UNC6240 —vinculado pela indústria à família ShinyHunters nesta campanha — modificou um exploit para CVE-2026-35273 e começou a explorá-lo em grande escala. A técnica de evasão consistiu em URL- encodear a letra "P" na rota vulnerável, solicitando "/%50SEMHUB/hub" em vez de "/PSEMHUB/hub", o que permitiu que muitas regras do WAF e proxies reversos baseadas em coincidência literal não detectassem o pedido; o servidor de aplicações PeopleSoft descodificar a rota e envia-a para servlet vulnerável, onde uma carga útil de deserialização Java provoca execução de código. Após esse acesso inicial, os atacantes instalaram a web shells JSP, carregando um instalador troceado e assinado (Ple64.exe) que injeta um backdoor em memória chamado SIDEEYE, usado Neo-reGeorg para tunelização e MeshAgent (MeshCentral) para persistência em sistemas Linux. As vítimas notificadas abrangem educação superior, tecnologia, saúde, transporte, agricultura e organismos públicos.

Como funciona tecnicamente (a sequência de ataque confirmada): o vetor é exploração de deserialização Java em PSEMHUB hub servlet mediante POSTs que contêm objetos Java serializados maliciosos. Para evitar o WAF, a rota é enviada com "% 50" (a codificação de ASCII para 'P') de modo que sistemas intermédios que fazem matching antes de descodificar não reconheçam o padrão malicioso. Uma vez explorado, o atacante costuma deixar dois web shells JSP (x.jsp e u.jsp) em PSEMHUB.war: um facilita a execução de comandos cross-platform e o outro permite subir fragmentos de arquivos e executar cmd.exe no Windows. Com essas capacidades suben Ple64.exe (assinado aparentemente legítimo) que carrega em memória o backdoor SIDEEYE e abre comunicação TCP com servidores externos (por exemplo, o IP observado 162.219.30[.]165), facilitando roubo de credenciais de navegador/escritor, manejo de processos/arquivos e shells reversos. Também usam Neo-reGeorg para tunelizar tráfego e MeshAgent para acesso remoto legítimo como meio de persistência.

Quem afeta e porque importa: afeta a implantação do Oracle PeopleSoft que tenha habilitado o módulo Environment Management (EMHub/PSEMHUB), especialmente instalações de um único servidor ou configurações multi-servidor que não tenham aplicado os adesivos. As contas e as bases de dados que o PeopleSoft abriga frequentemente contêm informações sensíveis (RRHH, salários, processos estudantis, dados clínicos) pelo que o risco principal é o roubo massivo de dados e a possível extorsão por difusão pública. Além disso, a combinação de execução como SYSTEM/root (aprox. 25% de comandos observados) e persistência via RMM ou backdoors facilita movimentos laterais e compromete a integridade de toda a infraestrutura.

Consequências reais (confirmadas e prováveis): confirmadas pelos pesquisadores está a implantação de web shells, backdoors em memória e uso de RMM; também foi observado exfiltração e preparação para extorsão (patrão habitual do ator). Probable: publicação de dados roubados em sites de fuga e campanhas de extorsão às vítimas; impacto operacional por indisponibilidade de serviços PeopleSoft e custos de remediação elevados por necessidade de reconstrução de sistemas comprometidos. Ainda incerto: alcance total do roubo de dados em cada vítima e se todos os incidentes estão ligados à mesma atoria ou a variantes do exploit.

O que é comprovado vs. o que está em disputa: é comprovado por Mandiant/Google que existe exploração ativa de CVE‐2026‐35273 e que os atacantes usam técnicas de evasão de WAF, web shells e toolsets como Neo-reGeorg e MeshAgent. Menos confirmado de forma independente é a atribuição definitiva a ShinyHunters em todos os incidentes e as afirmações públicas do grupo sobre outros intrusos (por exemplo, uma declaração sobre um suposto ataque ao portal de emprego do FBI foi divulgada por meios como The Hacker News e The Register, mas essas afirmações externas requerem verificação adicional por parte das autoridades). Veja os relatórios técnicos e avisos oficiais para as confirmações primárias: Mandiant/Google e a página Oracle para PeopleSoft.

https://www.mandiant.com/resources/blog(Recursos de pesquisa e blogs de incident response) e https://www.oracle.com/applications/peoplesoft-enterprise/(documentação e avisos do Oracle) são pontos de partida para validação técnica e adesivos. Para contexto sobre vulnerabilidades críticas e obrigações regulatórias consulte o catálogo de vulnerabilidades exploradas por atores conhecidos da CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog.

Acções concretas e urgentes(lista de verificação operacional que os equipamentos IT/segurança devem aplicar agora): aplicar imediatamente o adesivo publicado que corrige o CVE- 2026-35273; se não for possível, desactivar o serviço Environment Management Hub em ambientes multi-servidor ou remover o PSEMHUB em instalações de servidor único. Procurar em logs de WebLogic e proxies todos os pedidos de "/PSEMHUB/" e qualquer variante com percent-encoding (por exemplo, "/%50SEMHUB/"); rever a pasta PSEMHUB.war por JSPs não-lembra (x.jsp, u.jsp ou outros). Detectar e isolar hosts com processos MeshAgent ou comunicações para IPs suspeitos (162.219.30[.]165 foi observada na campanha). Rastrear executáveis chamados Ple64.exe, assinados anómalamente, e qualquer uso de Neo-reGeorg ou túneis reversos. Rotar credenciais acessíveis pela conta de serviço da PeopleSoft e forçar mudanças de senhas de contas de serviço e de administrador; ativar MFA onde possível. Rever registros de base de dados para consultas em massa ou exportações sobre tabelas sensíveis (RRH, salários, estudantes) e procurar arquivos de grande tamanho em /tmp ou diretórios web que poderiam conter unps. Em caso de detecção de compromisso, contemple a reconstrução de imagens limpas e verificação de backups; documente a linha temporal da intrusão para notificações regulamentares e preparação ante possíveis extorsões.

Recomendações de defesa adicionais: ajuste as regras WAF para que comparem rotas após a canonicalização/decodificação ou insira assinaturas específicas para detectar "%50SEMHUB" e variantes; implemente regras de EDR para detectar deserialização Java perigosa e padrões de web shell JSP; segmente a rede para limitar a capacidade de movimento lateral por SSH e reduzir o alcance das contas de serviço. Prepare playbooks para resposta a extorsão de dados: preservar evidências, coordenar com legal e comunicações e não pagar sem avaliação forense e legal.

Resumo final: a exploração de CVE‐2026‐35273 é ativa e demonstrou ser eficaz pela combinação de evasão de WAF, deserialização Java e utilização de ferramentas de persistência/backdoor que facilitam roubo e extorsão. As organizações que usam a PeopleSoft devem priorizar adesivos e procurar indicadores de compromisso agora mesmo; a detecção rápida e a rotação de credenciais são essenciais para limitar impacto e poder reconstruir com garantias.