Une vulnérabilité zero-day dans Oracle PeopleSoft permet l'exécution de code à distance
Picus Security signale une vulnérabilité critique de type zero-day dans Oracle PeopleSoft Enterprise PeopleTools, exploitée avant un correctif. Cette faille permet aux attaquants d'exécuter du code arbitraire à distance sans authentification.
La société de cybersécurité Picus Security a détaillé une vulnérabilité critique, désignée CVE-2026-35273, affectant Oracle PeopleSoft Enterprise PeopleTools. Cette faille zero-day, dotée d'un score CVSS de 9,8, permet une exécution de code à distance (RCE) sans authentification.
La vulnérabilité a été activement exploitée dans la nature avant qu'Oracle ne publie un correctif. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) l'a ajoutée à son catalogue des "Vulnérabilités connues et exploitées" (KEV). Les versions PeopleTools 8.61 et 8.62, en particulier celles dotées d'un composant Environment Management Hub exposé sur Internet, sont considérées comme urgemment vulnérables.
Le groupe de menace UNC6240, connu publiquement sous le nom de ShinyHunters, a été associé à l'exploitation de cette vulnérabilité. Le groupe a principalement ciblé le secteur de l'enseignement supérieur, avec des indices de vol de données et de demandes de rançon. La publication publique des données volées sur leur site de fuites de données est une tactique connue.
La vulnérabilité découle du fait que le point d'accès /PSEMHUB/hub du PeopleSoft Environment Management Hub ne parvient pas à traiter en toute sécurité les données sérialisées envoyées au serveur. Un attaquant peut envoyer une requête spécialement conçue, qui est désérialisée par le serveur sans authentification appropriée. Cela permet à l'attaquant d'exécuter des classes arbitraires, ce qui peut conduire à une compromission complète du système.
Picus Security propose sa plateforme pour permettre aux organisations de simuler des attaques telles que CVE-2026-35273. Cela permet aux entreprises de tester et de valider l'efficacité de leurs contrôles de sécurité existants face aux menaces émergentes et d'atténuer le risque de violations de données potentielles.