ShinyHunters omzeilt WAF-regels voor Oracle PeopleSoft

ShinyHunters omzeilt WAF-regels op Oracle PeopleSoft met een URL-gecodeerd PSEMHUB-pad, meldt Mandiant op 25 september in een update over de hernieuwde massale exploitatie van CVE-2026-35273.

Voor Nederlandse organisaties met PeopleSoft betekent dit dat een WAF-regel op het zichtbare pad niet volstaat wanneer de patch ontbreekt. Mandiant zegt dat de aanvallers juist zulke systemen zochten. Oracle noemt PeopleTools 8.61 en 8.62 getroffen; de kwetsbaarheid scoort 9,8 op CVSS 3.1 en is zonder authenticatie op afstand te misbruiken voor code-uitvoering.

De omweg zit in één teken: %50 staat in URL-codering voor de letter P. Een WAF die vóór decodering alleen /PSEMHUB/ matcht, mist /%50SEMHUB/. WebLogic decodeert het verzoek daarna en stuurt het door naar de kwetsbare servlet van de Environment Management Hub.

Mandiant meldt webshells op tientallen systemen wereldwijd in onder meer onderwijs, technologie, zorg, landbouw, transport en overheid. Tijdens verkenning zagen onderzoekers meestal vijf tot vijftien POST-verzoeken naar /%50SEMHUB/hub met een geserialiseerd Java-object.

In juni werd hetzelfde lek al gekoppeld aan het Nissan-datalek waarbij salaris- en identificatiegegevens van werknemers werden buitgemaakt.

Mandiant adviseert de Oracle-patch toe te passen en WebLogic-logs op gewone en gecodeerde PSEMHUB-paden te doorzoeken, met extra aandacht voor POST-verzoeken naar /hub. De organisatie adviseert ook WAF-regels op het genormaliseerde pad te laten werken en PSEMHUB.war te controleren op onverwachte JSP-bestanden, zoals x.jsp, u.jsp en tunnel.jsp.

De nieuwe golf laat zien dat een regel op de zichtbare URL geen bewijs is dat PeopleSoft is gepatcht. Zolang de kwetsbare component niet is bijgewerkt, kan dezelfde servlet via een andere schrijfwijze bereikbaar blijven.