PeopleSoft sotto attacco: i filtri non sostituiscono gli aggiornamenti

Mandiant segnala una nuova campagna ShinyHunters contro sistemi rimasti vulnerabili nonostante le difese perimetrali

Una nuova campagna contro Oracle PeopleSoft mostra il rischio di affidare la sicurezza a misure provvisorie lasciate in funzione troppo a lungo. Nel rapporto del 25 settembre 2026, Mandiant e Google Threat Intelligence Group descrivono attacchi attribuiti a ShinyHunters contro installazioni esposte alla vulnerabilità CVE-2026-35273. La campagna ha raggiunto decine di sistemi e settori diversi, oltre all’università, già interessata dalle precedenti intrusioni.

Secondo i ricercatori, gli aggressori hanno adattato le richieste per superare alcune regole dei firewall applicativi. Il punto critico è la diversa interpretazione della stessa richiesta da parte del filtro e dell’applicazione. Un controllo costruito su una corrispondenza testuale può quindi bloccare una forma della richiesta e lasciarne passare una equivalente, che il sistema vulnerabile continua a elaborare.

Il rapporto indica come priorità l’applicazione della correzione Oracle, accompagnata dalle misure di disattivazione del componente interessato previste dal produttore. Raccomanda inoltre di cercare tracce di accessi anomali e modifiche non autorizzate e di rinnovare le credenziali potenzialmente accessibili dal servizio. Una protezione collocata davanti al software non elimina, da sola, il difetto del software stesso.

La lezione organizzativa riguarda la gestione delle eccezioni. Quando un aggiornamento viene rinviato per esigenze operative, sarebbe opportuno registrare motivo, responsabile, durata e misure compensative. Senza una scadenza, una soluzione temporanea rischia di diventare permanente e di essere considerata, impropriamente, equivalente alla rimozione della vulnerabilità.

Il caso suggerisce anche di distinguere prevenzione e accertamento dell’incidente. Installare una correzione riduce l’esposizione futura, ma non dimostra che nessuno sia già entrato. Per un’impresa, il controllo delle attività pregresse dovrebbe quindi accompagnare il ripristino tecnico, con conservazione delle evidenze utili a ricostruire accessi e operazioni.

La chiusura di un intervento dovrebbe basarsi su prove verificabili: versione effettivamente installata, perimetro dei sistemi controllati e risultato delle verifiche. Nei servizi affidati a terzi, queste informazioni aiutano anche a chiarire la divisione delle responsabilità operative. Un ticket contrassegnato come completato, senza indicazione dell’ambiente e dell’azione eseguita, offre una garanzia molto più debole di un riscontro tecnico documentato.