Badacze z Zero Day Initiative ujawnili, że krytyczna podatność w Oracle PeopleSoft (CVE-2026-35273) nie jest pojedynczym błędem, lecz łańcuchem trzech powiązanych luk. Atak rozpoczyna się od podatności SSRF w komponencie Integration Gateway (PSIGW), która pozwala napastnikowi przekierować żądanie do wewnętrznego interfejsu administracyjnego PSEMHUB. Ponieważ system domyślnie ufa adresowi pętli zwrotnej (127.0.0.1), atakujący może ominąć mechanizmy uwierzytelniania.
Uzyskany dostęp pozwala na zdalne wykonanie kodu (RCE) na dwa sposoby: poprzez nadpisanie pliku logów w celu umieszczenia web shella lub poprzez manipulację plikiem XML, który jest przetwarzany przez Java XMLDecoder. Grupa ShinyHunters wykorzystywała te luki do ataków na uniwersytety, sektor technologiczny, medyczny i rządowy. Napastnicy potrafili również omijać reguły WAF, stosując proste kodowanie URL ścieżek.
Aby się chronić, należy niezwłocznie zainstalować poprawkę Oracle wydaną w czerwcu. W przypadku braku możliwości natychmiastowego patchowania, zaleca się wyłączenie usługi Environment Management Hub. Eksperci podkreślają, że samo załatanie luki nie usuwa napastnika, który już uzyskał dostęp, dlatego konieczna jest rotacja poświadczeń i poszukiwanie śladów obecności intruza.
