Oracle PeopleSoft · Exploração relatada

Análise: zero-day do PeopleSoft usado por ShinyHunters era três falhas encadeadas

27 de out. de 2026 · 1 min de leitura

O CVE-2026-35273, zero-day do Oracle PeopleSoft explorado pelo grupo ShinyHunters segundo The Hacker News, reúne três falhas encadeadas. Uma SSRF contorna controles de acesso internos e permite execução remota de código sem autenticação. As três falhas já foram corrigidas sob esse único CVE; instâncias PeopleSoft devem ser atualizadas.

Por Redação HIFY Radar Atualizado 28/10/2026 03:08 Receba isso todo dia →← Voltar ao feed 2 fontes

CríticaFalhaExploração relatadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma análise técnica divulgada em 28 de outubro revela que o CVE-2026-35273 do Oracle PeopleSoft reúne três falhas encadeadas, corrigidas em um único patch. A falha foi usada em ataques recentes, atribuídos ao grupo ShinyHunters por The Hacker News. Com a cadeia completa, um atacante executa código no servidor sem credenciais.

Por que importa

PeopleSoft concentra dados corporativos de RH e processos internos. Com execução remota de código sem autenticação, o atacante assume o servidor e compromete esses dados. A falha já foi usada em ataques recentes, segundo ZDI e The Hacker News.

O que fazer

Aplique já a correção do CVE-2026-35273 a todas as instâncias Oracle PeopleSoft. Em seguida, revise os logs dos servidores PeopleSoft em busca de atividade suspeita anterior ao patch.

Para o time técnico

CVE: CVE-2026-35273
Afetados: Oracle PeopleSoft · Oracle PeopleSoft; versões específicas não citadas nas fontes.
Exploração: Exploração em ataques recentes ao PeopleSoft relatada pelo ZDI; o ZDI publicou análise de causa raiz e vídeo de demonstração. The Hacker News classifica a falha como zero-day e atribui a exploração ao grupo ShinyHunters. As fontes não citam PoC pública nem entrada no KEV.
Correção: As três falhas foram corrigidas sob o único CVE-2026-35273 (The Hacker News). Versões corrigidas específicas não citadas nas fontes.
Vetor: Oracle PeopleSoft; encadeamento de três falhas corrigidas sob um único CVE (CVE-2026-35273). A análise aponta uma SSRF que contorna controles de acesso internos e leva à execução remota de código sem autenticação; a cadeia completa dispensa credenciais.
Mais detalhes: Análise profunda publicada pelo pesquisador do ZDI bobbygould5, com causa raiz e demonstração em vídeo. Linha do tempo: incidente aberto em 27/10/2026; análise revelando o encadeamento das três falhas divulgada em 28/10/2026.

Linha do tempo

28/10/2026 03:08
Nova análise técnica revela que o CVE-2026-35273 agrupa três falhas encadeadas, com SSRF levando a RCE sem autenticação, todas já corrigidas.
27/10/2026 13:43
Incidente aberto.