Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Attackers Bypass WAFs to Exploit Oracle PeopleSoft Flaw and Deploy Web Shells

1 minute de lecture

Mis à jour :

Campagne d’exploitation massive visant Oracle PeopleSoft

Le groupe de menace UNC6240, lié au collectif ShinyHunters, mène une campagne mondiale d’exploitation ciblant diverses industries (gouvernement, santé, éducation, technologie). Les attaquants contournent les règles de filtrage des WAF (Web Application Firewall) pour exploiter une vulnérabilité critique dans Oracle PeopleSoft afin de déployer des web shells et exfiltrer des données.

Points clés :

  • Technique de contournement : Les attaquants utilisent l’encodage URL (ex: /%50SEMHUB/) pour tromper les WAF qui ne décodent pas les requêtes avant de vérifier les chemins d’accès.
  • Persistance et impact : Après l’exécution de code à distance, les attaquants installent des web shells, des backdoors (SIDEEYE), des outils de tunneling (Neo-reGeorg) et des agents d’administration à distance (MeshAgent).
  • Objectif : Vol de données à des fins d’extorsion.

Vulnérabilité :

  • CVE-2026-35273 (Score CVSS : 9.8) : Permet l’exécution de code à distance (RCE) non authentifiée via une désérialisation Java dans le service PSEMHUB.

Recommandations :

  • Appliquer immédiatement les correctifs pour la CVE-2026-35273.
  • Désactiver le service Environment Management Hub (EMHub) ou supprimer l’application PSEMHUB sur les serveurs.
  • Rechercher des traces d’accès aux points de terminaison PSEMHUB dans les logs WebLogic, y compris les variantes encodées.
  • Inspecter le répertoire PSEMHUB.war à la recherche de fichiers JSP suspects (x.jsp, u.jsp).
  • Effectuer une rotation des identifiants accessibles par le compte de service PeopleSoft.
  • Surveiller les flux de données sortants et les logs de base de données pour détecter des exportations anormales.

Source

Vous pourriez aimer