Explotan vulnerabilidad crítica de Oracle PeopleSoft mediante eludir WAFs
Introducción
En un reciente informe, se ha alertado sobre una campaña de ataque que explota una vulnerabilidad crítica en Oracle PeopleSoft. Los atacantes, relacionados con el grupo ShinyHunters, han logrado eludir las reglas de los Firewalls de Aplicaciones Web (WAF) para implantar shells web en múltiples sistemas en varias industrias.
¿Qué sucedió?
Los atacantes se han aprovechado de la vulnerabilidad identificada como CVE-2026-35273, la cual cuenta con un puntaje CVSS de 9.8, lo que indica su severidad. Esta brecha permite la ejecución remota de código sin autenticación, poniendo en riesgo a organizaciones educativas, proveedores de tecnología, servicios de TI, y más.
Impacto y Riesgo
Los ataques han resultado en la ejecución de comandos remotos, movimiento lateral mediante SSH, y robos de datos. La explotación ha sido tan extensa que Google, a través de Mandiant, notificó a más de 100 organizaciones sobre su exposición a esta vulnerabilidad. Se han detectado implantes de shells web en decenas de sistemas, lo que representa una grave amenaza para la integridad y seguridad de la información de las organizaciones afectadas.
Recomendaciones
- Implementar parches de seguridad proporcionados por Oracle o actualizar a la última versión de PeopleSoft.
- Revisar y ajustar las configuraciones de sus WAF para detectar y bloquear técnicas de elusión como la utilizada en este ataque.
- Realizar auditorías de seguridad periódicas y pruebas de penetración para identificar y mitigar vulnerabilidades potenciales.
- Fomentar una cultura organizacional de ciberseguridad, capacitando al personal sobre las mejores prácticas y alertas sobre amenazas emergentes.
Conclusión
El caso de explotación de la vulnerabilidad en Oracle PeopleSoft resalta la importancia de mantener una postura de seguridad activa y adaptativa. La capacidad de los atacantes para eludir mecanismos de defensa resalta la necesidad de un enfoque proactivo en la ciberseguridad, combinando tecnología y capacitación continua.
