Vulnerabilità ed exploit
Una sola CVE non racconta tutte le falle di PeopleSoft Oracle ha corretto con una sola patch, associata a CVE-2026-35273 , tre vulnerabilità distinte di PeopleSoft, secondo ZDI. Il 25 settembre 2026 Mandiant ha riferito che ShinyHunters continuava a sfruttare la falla su larga scala.
La SSRF nell’Integration Gateway permette di far rientrare nel server una richiesta. Questa supera il controllo che dovrebbe ammettere solo client fidati e raggiunge funzioni di gestione riservate, aprendo un percorso verso la RCE.
ZDI sta coordinando con Oracle l’assegnazione di CVE separate per le tre falle. Il solo identificativo pubblicato, quindi, non rappresenta l’intero perimetro delle vulnerabilità corrette.
1 fonte · 7 ore fa
NVD KEV
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Updates Environment Management). Impiego noto in campagne ransomware. EPSS 97% (100º percentile).
Data di correzione federale CISA 15 giu · data superata
Cronologia Fonti 27 ott Zero Day Initiative Blog
Zero Day Initiative — CVE-2026-35273: SSRF to RCE in Oracle PeopleSoft
On September 25, 2026, Mandiant released a report regarding continued mass exploitation of CVE-2026-35273 by the ShinyHunters group.
originale Part of the PlainSec briefing for 2026-10-27
Every edition of this story: Una sola CVE non racconta tutte le falle di PeopleSoft
Altro da oggi Vulnerabilità ed exploit
Una sola CVE non racconta tutte le falle di PeopleSoft Oracle ha corretto con una sola patch, associata a CVE-2026-35273 , tre vulnerabilità distinte di PeopleSoft, secondo ZDI. Il 25 settembre 2026 Mandiant ha riferito che ShinyHunters continuava a sfruttare la falla su larga scala.
La SSRF nell’Integration Gateway permette di far rientrare nel server una richiesta. Questa supera il controllo che dovrebbe ammettere solo client fidati e raggiunge funzioni di gestione riservate, aprendo un percorso verso la RCE.
ZDI sta coordinando con Oracle l’assegnazione di CVE separate per le tre falle. Il solo identificativo pubblicato, quindi, non rappresenta l’intero perimetro delle vulnerabilità corrette.
1 fonte · 7 ore fa
NVD KEV
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Updates Environment Management). Impiego noto in campagne ransomware. EPSS 97% (100º percentile).
Data di correzione federale CISA 15 giu · data superata
Cronologia Fonti 27 ott Zero Day Initiative Blog
Zero Day Initiative — CVE-2026-35273: SSRF to RCE in Oracle PeopleSoft
On September 25, 2026, Mandiant released a report regarding continued mass exploitation of CVE-2026-35273 by the ShinyHunters group.
originale Part of the PlainSec briefing for 2026-10-27
Every edition of this story: Una sola CVE non racconta tutte le falle di PeopleSoft
Altro da oggi