Oracle ha recentemente sollevato l’allerta su alcune vulnerabilità critiche che interessano il suo E-Business Suite e PeopleSoft, in coincidenza con la conclusione del mese della Cybersecurity Awareness. Nonostante l’emissione di una patch da parte di Oracle, i cyberattaccanti stanno continuando a esplorare una vulnerabilità nel E-Business Suite, la quale può portare a un’esecuzione remota di codice (RCE).
In questo contesto, gli studi hanno rivelato che un zero-day di Oracle PeopleSoft, sfruttato dal gruppo ShinyHunters a partire da maggio, coinvolge tre fragilità distinte che, combinate, possono portare a RCE. Solo la patching non è sufficiente per rimuovere gli attaccanti dai sistemi compromessi, specialmente se hanno già installato shell web.
Vulnerabilità critiche in Oracle EBS
La vulnerabilità è identificata come CVE-2026-101767, un grave problema di SQL injection non autenticata nel framework Thin Client di Oracle E-Business Suite che può portare a RCE. “I nostri decoy di Oracle E-Business Suite hanno registrato tentativi esplorativi contro la CVE-2026-101767, un’iniezione SQL non autenticata,” ha dichiarato Defused Cyber in un post su X (precedentemente Twitter) il 27 ottobre.
I ricercatori di Horizon3 hanno scoperto e segnalato la vulnerabilità ad Oracle, la quale ha emesso una patch nell’ottobre scorso. “Un attaccante può inviare una richiesta creata per eseguire SQL con i privilegi dell’utente del database APPS,” spiegano i ricercatori, avvertendo che ciò potrebbe compromettere dati sensibili, tra cui record finanziari e di gestione delle risorse umane.
Oracle è stata contattata per ottenere informazioni riguardo eventuali sfruttamenti documentati della CVE-2026-101767, ma non ha fornito una risposta immediata.
Problemi con Oracle PeopleSoft e ShinyHunters
Il problema si complica ulteriormente con il caso PeopleSoft, dove TrendAI’s Zero Day Initiative (ZDI) ha scoperto e segnalato le vulnerabilità il 10 giugno, portando Oracle a rilasciare una patch per un identificatore di vulnerabilità: CVE-2026-35273.
ShinyHunters ha dichiarato di aver violato oltre 100 organizzazioni tramite uno zero-day di PeopleSoft, principalmente nel settore educativo. In seguito, Mandiant ha confermato che il gruppo ha ampliato i propri obiettivi, investendo risorse in diversi settori, inclusi tecnologia, sanità e governo.
Secondo il cacciatore di bug ZDI Bobby Gould, ci sono tre vulnerabilità distinte che devono essere trattate singolarmente, piuttosto che raggruppate sotto la CVE-2026-35273. La prima vulnerabilità riguarda un Server-Side Request Forgery (SSRF) nel PeopleSoft Integration Gateway (PSIGW), che consente agli aggressori di accedere non autorizzato al sistema.
La seconda riguarda il controllo degli accessi e le richieste da parte di file nell’handler di ExecuteProcessActivityCommand, permettendo agli attaccanti di scrivere shell web e ottenere RCE. La terza vulnerabilità è legata alla deserializzazione di dati non fidati, consentendo l’inserimento di file XML dannosi in directory di configurazione che possono essere attivati al riavvio del servizio.
“Gli aggressori possono combinare queste vulnerabilità per compromettere le istanze di PeopleSoft interessate,” ha avvertito Gould. Questo scenario evidenzia l’importanza di un monitoraggio continuo e di una rapida risposta alle minacce informatiche.
