O que é fato
Em 25 de setembro de 2026, o Google Threat Intelligence e a Mandiant relataram uma nova onda de exploração em massa do CVE-2026-35273, falha de execução remota de código sem autenticação (CVSS 9,8) no Environment Management Hub (PSEMHUB) do Oracle PeopleSoft.
A história da falha:
- O grupo rastreado como UNC6240 (que o Google associa a ShinyHunters) explorou-a como zero-day a partir de 27 de maio;
- A Oracle lançou correção de emergência em 10 de junho;
- Em setembro, a nova onda ataca quem bloqueou o endpoint com regra de WAF e nunca aplicou o patch.
O truque: pedir /%50SEMHUB/ em vez de /PSEMHUB/. A regra do WAF que compara o caminho literal falha, e o servidor PeopleSoft decodifica o %50 de volta para P e chega ao servlet vulnerável.
O que é alegação (ainda não confirmado)
Em 22 de setembro, o ShinyHunters defaceou uma página do FBIJobs.gov e afirmou ter roubado de 2 a 3 TB de dados, dizendo ter usado essa mesma falha (e, segundo eles, outra desconhecida). A FBI disse que está investigando atividade não autorizada e não confirmou o ponto de entrada nem o roubo de dados. A pesquisa do Google não nomeia o FBI como vítima.
Por que importa
Uma regra de WAF não é um patch. Atacantes testam encodings que a regra nunca considerou. Qualquer "mitigação temporária" precisa de data de validade e verificação contínua.
O que fazer agora
- Se você usa PeopleSoft: aplique o patch de 10 de junho e não dependa só do WAF.
- Procure nos logs pedidos a
/%50SEMHUB/e variações. - Trate as alegações sobre o FBI como não confirmadas até a própria agência dizer o contrário.