Vulnerabilità · 6 ore fa

Una sola CVE non racconta tutte le falle di PeopleSoft

Oracle ha corretto con una sola patch, associata a CVE-2026-35273, tre vulnerabilità distinte di PeopleSoft, secondo ZDI. Il 25 settembre 2026 Mandiant ha riferito che ShinyHunters continuava a sfruttare la falla su larga scala.

La SSRF nell’Integration Gateway permette di far rientrare nel server una richiesta. Questa supera il controllo che dovrebbe ammettere solo client fidati e raggiunge funzioni di gestione riservate, aprendo un percorso verso la RCE.

ZDI sta coordinando con Oracle l’assegnazione di CVE separate per le tre falle. Il solo identificativo pubblicato, quindi, non rappresenta l’intero perimetro delle vulnerabilità corrette.

CVE-2026-35273

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.8 CRITICAL: vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Updates Environment Management). Impiego noto in campagne ransomware. EPSS 97% (100º percentile).

Data di correzione federale CISA 15 giu · data superata

Cronologia

27 ott Segnalato da Zero Day Initiative Blog
15 giu Scadenza federale CISA per CVE-2026-35273 superata
12 giu CVE-2026-35273 aggiunto al KEV CISA

Fonti

1 fonte che coprono questa storia

Zero Day Initiative Blog 27 ott
Zero Day Initiative — CVE-2026-35273: SSRF to RCE in Oracle PeopleSoft
On September 25, 2026, Mandiant released a report regarding continued mass exploitation of CVE-2026-35273 by the ShinyHunters group.

Entità

CVE-2026-35273
ShinyHunters

Part of the PlainSec briefing for 2026-10-27

Editions

Briefing for 2026-10-27

Storie correlate

Vulnerabilità · 6 ore faUna sola CVE non racconta tutte le falle di PeopleSoftOracle ha corretto con una sola patch, associata a CVE-2026-35273, tre vulnerabilità distinte di PeopleSoft, secondo ZDI. Il 25 settembre 2026 Mandiant ha riferito che ShinyHunters continuava a sfruttare la falla su larga scala.La SSRF nell’Integration Gateway permette di far rientrare nel server una richiesta. Questa supera il controllo che dovrebbe ammettere solo client fidati e raggiunge funzioni di gestione riservate, aprendo un percorso verso la RCE.ZDI sta coordinando con Oracle l’assegnazione di CVE separate per le tre falle. Il solo identificativo pubblicato, quindi, non rappresenta l’intero perimetro delle vulnerabilità corrette.