Lo confirmado
El 25 de septiembre de 2026, Google Threat Intelligence y Mandiant informaron de una nueva ola de explotación masiva de CVE-2026-35273, un fallo de ejecución remota de código sin autenticación (CVSS 9,8) en el Environment Management Hub (PSEMHUB) de Oracle PeopleSoft.
Cronología:
- El clúster UNC6240 (que Google vincula a ShinyHunters) lo explotó como zero-day desde el 27 de mayo;
- Oracle publicó un parche de emergencia el 10 de junio;
- En septiembre la nueva ola ataca a quienes bloquearon el endpoint con una regla WAF y nunca aplicaron el parche.
El truco: pedir /%50SEMHUB/ en lugar de /PSEMHUB/. La regla WAF que compara la ruta literal falla, y el servidor PeopleSoft decodifica %50 de nuevo a P.
Lo que es alegación (sin confirmar)
El 22 de septiembre, ShinyHunters desfiguró una página de FBIJobs.gov y afirmó haber robado 2–3 TB. El FBI dijo que investiga y no ha confirmado el punto de entrada ni el robo de datos. La investigación de Google no nombra al FBI como víctima.
Por qué importa
Una regla WAF no es un parche. Cualquier "mitigación temporal" necesita fecha de caducidad y pruebas continuas.
Qué hacer ahora
- Si usa PeopleSoft: aplique el parche del 10 de junio y no dependa solo del WAF.
- Busque en logs peticiones a
/%50SEMHUB/. - Trate las alegaciones sobre el FBI como no confirmadas.