ShinyHunters vuelve a explotar Oracle PeopleSoft tras sortear reglas de seguridad

ShinyHunters, grupo que Mandiant y Google Threat Intelligence Group identifican como UNC6240, reanudó en septiembre de 2026 la explotación a gran escala de la vulnerabilidad CVE-2026-35273 de Oracle PeopleSoft. Para esquivar algunas reglas de los cortafuegos de aplicaciones web (WAF), modificó la forma de escribir la ruta vulnerable. El cambio podía hacer que el cortafuegos no reconociera la solicitud, pero no eliminaba el fallo de seguridad. La campaña anterior, entre mayo y junio, comprometió más de 300 instancias de PeopleSoft en más de 100 organizaciones, principalmente del sector educativo. 1117

Cómo sortearon algunas reglas del WAF

Algunas organizaciones habían intentado reducir el riesgo con reglas WAF que bloqueaban las solicitudes dirigidas al punto de acceso Environment Management Hub de PeopleSoft, cuya ruta es /PSEMHUB/. En la nueva campaña, los atacantes codificaron el primer carácter de la ruta y enviaron /%50SEMHUB/ en su lugar. Como %50 representa la letra P, una regla que buscara únicamente la ruta literal /PSEMHUB/ podía no detectar la variante; la aplicación, sin embargo, podía procesarla como la ruta vulnerable. 36

La diferencia es importante: la URL se escribía de otra manera, pero la vulnerabilidad subyacente seguía ahí. Google atribuyó la actividad renovada a UNC6240, también conocido como ShinyHunters, y señaló que se trataba de la explotación de la misma vulnerabilidad. 17

La nueva campaña llegó a más sectores

La primera ola observada se desarrolló entre el 27 de mayo y el 9 de junio de 2026, y se centró sobre todo en instituciones académicas. Según los investigadores, afectó a más de 300 instancias de aplicaciones en más de 100 organizaciones. 1122

La campaña posterior amplió su alcance más allá de la educación. Entre los sectores señalados figuran la educación superior, la tecnología, la salud, la agricultura, el transporte y organismos gubernamentales. 217

Qué se sabe de las afirmaciones sobre el portal de empleo del FBI

ShinyHunters afirmó que había vulnerado el portal de empleo del FBI mediante una supuesta vulnerabilidad nueva de día cero en PeopleSoft, accedido a una infraestructura AWS GovCloud gestionada por el FBI y robado datos de empleados y postulantes. 10 Otra cobertura describió una muestra de unos 5.000 registros que supuestamente correspondían a empleados del FBI. 43

Esas afirmaciones no deben confundirse con hechos confirmados. La información disponible no verifica de forma independiente el supuesto acceso a GovCloud, el alcance total de un posible robo de datos ni si el incidente del FBI implicó una vulnerabilidad de día cero distinta. Según las informaciones citadas, el FBI investigaba el incidente del sitio de empleo; eso, por sí solo, no confirma el relato más amplio del grupo. 2

Por qué no basta con una regla del cortafuegos

Un WAF puede aportar una capa de protección, pero una regla que reconoce una única forma de escribir una URL puede pasar por alto otra variante codificada. Si la solicitud todavía llega al componente vulnerable, bloquear solo la ruta literal no sustituye la corrección del fallo. 36

Mandiant y Google informaron de la explotación renovada de CVE-2026-35273 e instaron a las organizaciones afectadas a aplicar la actualización de seguridad de Oracle, en vez de depender únicamente de reglas WAF. 176