Por Canuto  

Oracle enfrenta dos focos de riesgo: investigadores registraron sondeos contra una falla crítica de E-Business Suite y describieron tres vulnerabilidades de PeopleSoft que podrían combinarse para alcanzar ejecución remota de código. Los reportes no demuestran que los sondeos contra EBS hayan causado intrusiones ni que ShinyHunters haya usado las tres fallas de PeopleSoft.
***

  • Defused Cyber reportó sondeos exploratorios contra CVE-2026-101767, una falla de inyección SQL no autenticada en Oracle E-Business Suite.
  • ZDI sostiene que el caso de PeopleSoft asociado a CVE-2026-35273 reúne tres vulnerabilidades diferentes que podrían encadenarse.
  • Mandiant reportó la explotación de PeopleSoft atribuida a ShinyHunters y web shells en sistemas de distintos sectores.

Oracle enfrenta sondeos contra E-Business Suite y ataques reportados a PeopleSoft

Una falla crítica vuelve a poner a E-Business Suite bajo alerta

Atacantes comenzaron a sondear una vulnerabilidad crítica de Oracle E-Business Suite, aunque la compañía publicó un parche durante octubre. La falla, identificada como CVE-2026-101767, es una inyección SQL que no exige autenticación. El aviso de actualización crítica de Oracle de octubre se publicó el 20 de octubre; el NVD señala que las versiones afectadas son EBS 12.2.3 a 12.2.15. Según los investigadores, una explotación puede abrir el camino a la ejecución remota de código.

Defused Cyber informó que sus señuelos de E-Business Suite registraron intentos exploratorios el 27 de octubre. La firma describió solicitudes dirigidas al servlet vulnerable y señaló que la técnica podía encadenar la inyección SQL con ejecución remota de comandos, pero ese registro de sondeos no demuestra por sí mismo que los atacantes hayan comprometido sistemas reales.

Horizon3 descubrió y reportó el problema a Oracle, que incluyó una corrección en su actualización de octubre. De acuerdo con la explicación de esos investigadores, una solicitud manipulada puede ejecutar consultas con los privilegios del usuario de base de datos APPS, una cuenta vinculada a funciones de la aplicación.

La cadena descrita también puede permitir comandos del sistema operativo con los privilegios de la cuenta de aplicación de E-Business Suite. El alcance concreto depende de cada instalación, pero Horizon3 advirtió que los datos accesibles podrían incluir registros financieros, de nómina, recursos humanos y adquisiciones.

El parche corrige la falla, pero no confirma que un sistema esté limpio

El hecho de que Oracle haya publicado una corrección no elimina la necesidad de revisar si hubo actividad previa en las instalaciones expuestas. El reporte de The Register indicó que la empresa no había respondido de inmediato a las preguntas sobre el caso, incluida una consulta acerca de si documentó alguna explotación exitosa de CVE-2026-101767.

La diferencia entre un sondeo y una intrusión confirmada es relevante para interpretar el aviso. Defused Cyber reportó actividad exploratoria en sus señuelos, mientras que la información disponible no establece cuántos sistemas recibieron esos intentos ni si alguno quedó comprometido.

Además, instalar una actualización no necesariamente expulsa a un intruso que ya consiguió acceso. El artículo advierte que un atacante podría haber instalado web shells, herramientas que permiten mantener una puerta de entrada al servidor, por lo que aplicar el parche y determinar si persiste actividad maliciosa son asuntos distintos.

Esta cautela también importa para leer el aviso sin exagerar su alcance: la existencia de una vulnerabilidad crítica y de sondeos no equivale a una confirmación de explotación exitosa en todos los entornos. Oracle publicó la corrección, pero la información citada no detalla cuántas organizaciones la instalaron ni cuántas investigan posibles accesos.

PeopleSoft: un identificador CVE para tres vulnerabilidades

El segundo foco de la alerta involucra a Oracle PeopleSoft y a ShinyHunters, un grupo de robo de datos y extorsión. La Zero Day Initiative, conocida como ZDI y vinculada a TrendAI, reportó los problemas a Oracle el 10 de junio; la compañía publicó una corrección bajo un único identificador, CVE-2026-35273. Oracle publicó una alerta de seguridad para ese CVE.

A comienzos de junio, ShinyHunters aseguró a The Register que había vulnerado a más de 100 organizaciones mediante una falla de día cero en PeopleSoft. Mandiant reportó posteriormente la explotación de CVE-2026-35273 atribuida al grupo, principalmente contra escuelas y entidades del sector educativo. Ese reporte no establece que los atacantes utilizaran las tres vulnerabilidades descritas por ZDI.

A finales de septiembre, Mandiant describió una expansión de los objetivos y reportó web shells en decenas de sistemas distribuidos por el mundo. Entre los sectores mencionados figuran educación superior, tecnología, servicios de TI, salud, agricultura, transporte y gobierno.

Bobby Gould, investigador de ZDI, sostuvo que el caso reúne tres vulnerabilidades en diferentes componentes de PeopleSoft y que cada una debería contar con su propio identificador CVE. Gould, junto con Minh Giang y Lucas Miller, reportó originalmente los tres errores a Oracle en junio; el equipo dijo que coordinaba con la compañía la asignación de identificadores separados.

Cómo se encadenan las tres fallas de PeopleSoft

La primera vulnerabilidad es una falsificación de solicitudes del lado del servidor, o SSRF, en PeopleSoft Integration Gateway, conocido como PSIGW. De acuerdo con Gould, esta falla puede servir como punto de entrada hacia la aplicación y permitir que un atacante envíe solicitudes a otros componentes que exponen funciones vulnerables.

En junio, Oracle incorporó un método llamado validateClient para que los administradores restringieran el acceso a ciertas funciones. Sin embargo, la explicación de ZDI señala que el problema SSRF permite construir solicitudes que satisfacen esa comprobación y llegar a endpoints vulnerables a ejecución remota de código.

El investigador añadió que un atacante desde cualquier host de confianza todavía podría alcanzar PSEMHUB, el PeopleSoft Environment Management Hub. Como Oracle permite por defecto las conexiones desde localhost, el SSRF de PSIGW puede proporcionar el acceso necesario a ese componente, según la descripción técnica de ZDI.

La segunda falla está en el manejador ExecuteProcessActivityCommand de PSEMHUB y permite controlar externamente una ruta de archivo. Ese componente, diseñado para que clientes remotos escriban entradas de registro en el sistema de archivos del servidor, no valida correctamente las solicitudes y podría dejar que un atacante escriba un web shell en una ubicación elegida.

La tercera vulnerabilidad, también en PSEMHUB, corresponde a la deserialización de datos no confiables. Un atacante podría usar la falla de escritura de archivos para colocar un XML malicioso dentro del directorio donde PeopleSoft almacena datos de configuración del entorno.

El archivo podría activarse cuando PSEMHUB se inicializa, por ejemplo, después de reiniciar el servicio o el sistema. Gould advirtió que un atacante podría combinar las tres vulnerabilidades para comprometer instancias afectadas y, potencialmente, alcanzar ejecución remota de código. Esta descripción técnica no confirma que ShinyHunters haya empleado toda la cadena en sus ataques.

Dos productos, riesgos distintos y una investigación pendiente

Las alertas de E-Business Suite y PeopleSoft describen problemas diferentes, y la información disponible no indica que formen parte de una misma operación. En EBS, el punto central es una inyección SQL no autenticada que recibió un parche en octubre y contra la que Defused Cyber observó sondeos; en PeopleSoft, ZDI desglosa tres fallas que pueden combinarse.

También conviene separar las atribuciones de cada caso. Defused Cyber reportó la actividad contra EBS, mientras que la relación entre ShinyHunters y la explotación de PeopleSoft aparece en los reportes de Mandiant y en la información que el grupo comunicó sobre sus ataques.

El identificador único asignado inicialmente a PeopleSoft puede ocultar que los investigadores describen tres mecanismos distintos: solicitudes SSRF, control de rutas de archivo y deserialización insegura. La coordinación anunciada por ZDI con Oracle apunta a que cada problema reciba una referencia propia, aunque la fuente no especifica cuándo concluirá ese proceso.

Por ahora, el reporte deja dos cuestiones abiertas: si Oracle documentó intrusiones exitosas mediante CVE-2026-101767 y cómo avanzará la asignación de identificadores separados para PeopleSoft. La advertencia práctica es que un parche atiende una vulnerabilidad, pero no sustituye la evaluación de posibles accesos anteriores ni resuelve por sí solo la presencia de web shells.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados