A Mandiant identificou uma campanha que explora a CVE-2026-35273, falha crítica no Oracle PeopleSoft com nota 9.8 na escala CVSS. O problema está no Environment Management Hub, o PSEMHUB, e permite execução remota de código sem autenticação.
O que mudou nesta onda foi o desvio do WAF, e ele depende de um único caractere. Os invasores trocam /PSEMHUB/ por /%50SEMHUB/ no caminho da requisição, já que %50 é a codificação da letra P.
Segundo a Mandiant, muitas regras de WAF e de proxy reverso comparam o caminho literal antes de decodificar a URL, enquanto o servidor de aplicação do PeopleSoft decodifica a requisição e a encaminha ao servlet vulnerável.
A exploração ocorre por deserialização de objetos Java. Os atacantes enviam requisições POST para /%50SEMHUB/hub contendo objetos Java serializados e, a partir daí, instalam dois web shells em JSP no diretório do PSEMHUB.war.
Os dois têm funções distintas. O x.jsp executa comandos em diferentes plataformas, e o u.jsp permite envio de arquivos em pedaços e execução por cmd.exe.
Depois vem a permanência. O grupo sobe um instalador trojanizado chamado Ple64.exe, que carrega o backdoor SIDEEYE, e ainda instala o túnel Neo-reGeorg e a ferramenta de administração remota MeshAgent.
A atividade é atribuída ao UNC6240, ligado ao ShinyHunters, e começou como zero day contra instituições de ensino em junho de 2026. A nova onda atinge ensino superior, tecnologia, saúde, agricultura, transporte e governo, com web shells em dezenas de sistemas e cerca de um quarto dos comandos executados com privilégio de root ou SYSTEM. A análise não menciona correção disponível da Oracle.
