Oracle a publié une alerte pour CVE-2026-35273, une vulnérabilité de PeopleTools exploitable à distance sans authentification et pouvant conduire à une exécution de code. En septembre 2026, Google Threat Intelligence a décrit une nouvelle phase d’exploitation par UNC6240, associé à ShinyHunters.
Ce que les sources établissent
La matrice Oracle classe la faille comme exploitable sur le réseau sans privilège requis et recommande une action prioritaire. Google Threat Intelligence a observé une nouvelle campagne d’exploitation à grande échelle et indique que l’attaquant a contourné certains filtres WAF en encodant le chemin PSEMHUB sous la forme /%50SEMHUB/.
La présence d’une campagne ne signifie pas que chaque serveur PeopleSoft est compromis. Elle justifie en revanche un inventaire rapide des versions exposées et des contrôles d’accès.
Le périmètre PeopleTools
Recensez PeopleSoft, PeopleTools, les environnements de développement et les interfaces accessibles depuis Internet. Oracle identifie PeopleTools 8.61 et 8.62 dans sa matrice ; vérifiez la version exacte, le correctif applicable et le support de chaque installation. La route PSEMHUB mérite une attention particulière. Un filtre WAF qui bloque seulement le chemin littéral /PSEMHUB/ ne suffit pas : des variantes encodées peuvent le contourner.
Incluez les connexions aux annuaires, bases, outils de paie, finance et transferts. Une compromission d’un serveur applicatif peut rendre des secrets d’intégration plus importants que la seule interface web.
Corriger et chercher les traces
Appliquez le correctif Oracle sans attendre : un filtre WAF ne le remplace pas. Si EMHub n’est pas nécessaire, suivez les recommandations Oracle et Mandiant pour le désactiver dans une configuration multi-serveur ou retirer l’application PSEMHUB dans une configuration mono-serveur. Dans les journaux WebLogic/PIA, recherchez /PSEMHUB/ et ses variantes encodées comme /%50SEMHUB/, notamment les requêtes POST vers /hub, ainsi que les fichiers .jsp ou .jspx inattendus. Inspectez les nœuds PeopleSoft concernés et préservez les preuves avant toute réinstallation ou suppression de fichiers.
Une mise à jour corrige la vulnérabilité ; elle ne révoque pas automatiquement les sessions, clés API ou mots de passe qui auraient pu être lus.
Les accès à faire tourner
Inventoriez les secrets accessibles au compte de service PeopleSoft, notamment les chaînes de connexion à la base, les identifiants Integration Broker et les identifiants cloud accessibles depuis le serveur web. Après conservation des preuves et selon les résultats de l’enquête, révoquez les sessions et faites tourner ces secrets ainsi que les autres accès exposés.
Surveillez également les demandes urgentes de réinitialisation : une campagne connue peut être suivie de tentatives d’usurpation visant les équipes RH et finance.
Le lien avec Soclyde
Soclyde ne corrige pas PeopleSoft et ne détecte pas une intrusion. Il peut aider à conserver les accès d’administration et d’intégration dans un coffre chiffré local-first, avec des secrets distincts et retrouvables lors d’une rotation.
Cette organisation soutient la réponse opérationnelle sans prétendre remplacer les correctifs Oracle, les journaux ou l’analyse forensique.
À retenir
CVE-2026-35273 expose PeopleTools à une RCE sans authentification et fait l’objet d’une campagne décrite par Google. Inventoriez, corrigez, recherchez des traces et faites tourner les secrets si nécessaire. Consultez le générateur de mots de passe sécurisé ou contactez Soclyde.
Pour organiser ces accès partagés avec des règles de transmission et de révocation, consultez aussi le guide de partage sécurisé des mots de passe en équipe.
