CVE-2026-35273: cadeia de SSRF a RCE no Oracle PeopleSoft

O que aconteceu e o que fazer

A publicação da Zero Day Initiative, da TrendAI, descreve três vulnerabilidades distintas em componentes do Oracle PeopleSoft, reportadas à Oracle em 10 de junho de 2026 e corrigidas sob um único CVE, enquanto a atribuição de CVEs separados segue em coordenação. A primeira é uma falsificação de solicitação do lado do servidor (SSRF) no PeopleSoft Integration Gateway (PSIGW), identificada como ZDI-CAN-31816. Por meio do HttpListeningConnector, um invasor define o destino e a carga útil completa da requisição, o que lhe permite alcançar a interface de loopback e satisfazer a validação validateClient do PeopleSoft Environment Management Hub (PSEMHUB), que deveria proteger funcionalidades administrativas. Em 25 de setembro de 2026, a Mandiant publicou um relatório sobre exploração em massa contínua do CVE-2026-35273 pelo grupo ShinyHunters.

Na prática, uma empresa que usa PeopleSoft deve tratar a exposição como prioridade. Um plano de resposta pode começar pela aplicação da correção da Oracle e pela verificação de quais instâncias expõem o PSIGW e o PSEMHUB a redes não confiáveis. Em seguida, cabe restringir os conectores de escuta a origens conhecidas, bloquear requisições de saída que o servidor possa dirigir a endereços internos ou de loopback e não depender apenas da validação validateClient como barreira. Também é útil um pipeline de monitoramento que registre e alerte sobre requisições POST ao endpoint HttpListeningConnector com destinos internos ou cargas úteis anômalas, junto de um painel com a inventariação dos ambientes afetados.

Como a consultoria pode ajudar

Um diagnóstico da exposição das instâncias PeopleSoft a esta cadeia de SSRF e RCE, com inventário de endpoints PSIGW e PSEMHUB acessíveis, revisão do egress do servidor de aplicação e avaliação das correções aplicadas. Em seguida, uma implementação escopada de restrições de rede, monitoramento de requisições suspeitas e alertas, operados no ambiente do cliente.

Próximo passo

Se a sua empresa usa Oracle PeopleSoft, envie uma breve descrição do seu ambiente, das versões em uso e de onde estão expostos os componentes PSIGW e PSEMHUB. Com isso, a Wendelmaques prepara um diagnóstico e uma proposta escopada.