Una regla de firewall que bloquea la ruta visible de Oracle PeopleSoft puede dejar pasar la misma solicitud cuando un carácter va codificado. El 25 de septiembre de 2026, Google Threat Intelligence Group y Mandiant informaron de una nueva ola de explotación de CVE-2026-35273: el actor UNC6240, asociado con ShinyHunters, eludió filtros de WAF basados en cadenas y desplegó web shells en sistemas de varios sectores. Para organizaciones colombianas con PeopleSoft, la decisión es comprobar el parche y buscar actividad retrospectiva, no dar por segura la aplicación porque existe una regla perimetral.

Servicios de Insylux relacionados: Para convertir este análisis en acciones verificables, consulte Análisis de Vulnerabilidades y Ethical Hacking. Cada servicio tiene un alcance distinto y debe seleccionarse según activos, riesgo y resultado esperado.

Oracle PeopleSoft y CVE-2026-35273: qué cambió

La vulnerabilidad y el parche de Oracle no son nuevos del 25 de septiembre. La novedad es la investigación de Google sobre explotación renovada y ampliada a sectores más allá de educación. La primera campaña documentada en junio se enfocó principalmente en instituciones académicas; la nueva observación abarca, entre otros, tecnología, servicios informáticos, salud, agricultura, transporte y gobierno. El informe habla de decenas de sistemas globalmente con web shells. No enumera víctimas colombianas.

Este cambio material justifica una revisión aunque la organización hubiera instalado un bloqueo del endpoint vulnerable. La corrección oficial continúa siendo la medida principal. La investigación aporta un mecanismo concreto de evasión y señales de compromiso que permiten evaluar la ventana de exposición. Conviene diferenciar un sondeo masivo de una intrusión: solicitudes al endpoint pueden haber sido rechazadas, mientras la aparición de un archivo no autorizado o ejecución posterior requiere investigación.

Por qué el WAF no bastó

Según Google, algunos filtros bloqueaban la cadena literal /PSEMHUB/ antes de decodificar la URL. El atacante codificó un carácter de la ruta, de modo que el filtro vio una cadena distinta y el servidor de PeopleSoft la interpretó como el mismo destino. Una regla que solo busca texto en la solicitud original puede fallar cuando el servidor y el WAF normalizan la ruta de manera diferente. No es una afirmación de que todos los WAF sean inútiles; se trata de esa implementación de mitigación.

Una configuración perimetral puede ganar tiempo mientras se aplica un parche, pero exige pruebas contra variantes de representación. También puede ser eludida por rutas internas o sistemas no cubiertos. El proveedor del WAF debería demostrar cómo normaliza URL, qué nodos protege y qué solicitudes registró. El equipo de aplicación debe verificar que el servicio vulnerable ya no está expuesto, en lugar de concluirlo a partir de una regla activa en la consola.

Dónde puede estar la exposición

PeopleSoft suele sostener procesos de recursos humanos, finanzas, estudiantes u otras operaciones según el despliegue. El componente señalado es Environment Management Hub, o EMHub, a través de la aplicación PSEMHUB. La guía de Google y la alerta de Oracle indican aplicar el parche; además, recomiendan desactivar EMHub en configuraciones de varios servidores o retirar la aplicación en configuraciones de servidor único según corresponda. No ejecute ese cambio sin verificar su arquitectura y los procesos de mantenimiento que dependen del componente.

Un inventario útil contiene versión de PeopleTools, aplicación, nodos de WebLogic, exposición de PIA, estado de EMHub, reglas de WAF, cuentas de servicio, conexiones de base de datos y proveedores con acceso. Incluya entornos de prueba y recuperación: una copia antigua puede volver a publicarse tras un incidente o migración. Un sistema de recursos humanos con datos personales requiere una prioridad diferente de un laboratorio sin acceso externo ni datos reales, aunque ambos merezcan corrección.

Qué buscar en los registros y archivos

Mandiant recomienda revisar registros de acceso PIA WebLogic para la ruta literal y variantes codificadas, especialmente solicitudes POST a /hub y peticiones a archivos JSP desde orígenes externos. También sugiere inspeccionar el directorio de la aplicación PSEMHUB en busca de archivos ajenos al producto. No convierta una lista de nombres de archivo en el único criterio: un atacante puede cambiar un nombre; compare contenido, fechas y línea base.

Correlacione cada solicitud con respuesta del servidor, creación de archivos, ejecución de procesos, conexiones salientes y cambios de credenciales. Un HTTP 200 por sí solo no prueba ejecución, y un bloqueo del WAF no descarta otra ruta. La investigación menciona herramientas de acceso remoto y túneles en sistemas comprometidos; su presencia requiere contexto porque también pueden tener uso legítimo. Si hay indicios, preserve imágenes y logs antes de limpiar.

El riesgo continúa después del parche

Un web shell puede acceder a archivos de configuración y credenciales legibles por la cuenta de servicio. Aplicar el parche impide nuevos usos del defecto, pero no expulsa a quien ya instaló persistencia ni invalida secretos previamente expuestos. Google aconseja rotar credenciales alcanzables desde la capa web, incluidas conexiones de base de datos e integraciones, cuando corresponda a una investigación. La rotación debe coordinarse para no derribar el ERP o las nóminas.

El equipo debe preguntar qué procesos se ejecutaron bajo el usuario de PeopleSoft, qué cuentas pudieron leerse y si existen conexiones salientes no aprobadas. Separe «versión corregida» de «incidente cerrado» en el tablero. Un Análisis Forense Digital puede establecer si hubo actividad posterior a la explotación y qué credenciales necesitan revocarse.

Ruta de respuesta priorizada

Primero identifique instancias y preserve logs y configuraciones. Después contraste versiones con la alerta oficial de Oracle, aplique el parche y evalúe desactivar EMHub según la guía del fabricante. Confirme que todos los nodos ejecutan la versión corregida y que las aplicaciones esenciales funcionan. En paralelo, busque variantes codificadas en registros y archivos no autorizados. Si encuentra evidencia de compromiso, active respuesta a incidentes y trate credenciales y conexiones como parte de la contención.

Evite publicar una regla de WAF como prueba única de cierre. Pida al operador una matriz por instancia: versión anterior, parche, estado de EMHub, regla temporal, resultado de pruebas y búsqueda retrospectiva. Indique qué logs faltan y desde cuándo. El control compensatorio debe tener dueño y fecha de retirada. Si la aplicación no puede actualizarse de inmediato, documente el riesgo residual y limite el acceso con medidas acordes a la arquitectura.

Qué puede afectar a una empresa

Una aplicación de gestión puede almacenar datos personales, expedientes, contratos y credenciales de integraciones. El impacto potencial depende de la función del sistema y del acceso logrado por el atacante, no solo de la severidad de la CVE. Una interrupción puede impedir pagos o gestión de personal; una intrusión podría exigir revisar acceso a datos. Estos son escenarios de evaluación y no impactos confirmados en una organización colombiana por el informe.

Dirección necesita respuestas comprensibles: qué procesos dependen del sistema, qué versiones estaban expuestas, si se observó una solicitud que llegó a ejecutarse, qué información pudo alcanzarse y qué fecha tiene la próxima revisión. Si hay datos personales, involucre a privacidad y asesoría según hechos. No anuncie una fuga ni una obligación automática por el mero uso de PeopleSoft.

Qué pedir al integrador y al operador del WAF

Solicite un diagrama de flujo desde internet hasta la aplicación y una lista de reglas que actúan sobre la ruta vulnerable. Pregunte si el WAF inspecciona la ruta normalizada, si hay bypass interno y si todas las instancias están incluidas. El integrador debe confirmar versión real, dependencias de EMHub y pruebas funcionales tras el parche. El proveedor de hosting debe preservar logs y permitir comprobar archivos desplegados.

Un reporte genérico de «tráfico bloqueado» no contesta si solicitudes codificadas llegaron a la aplicación. Pida muestras y conteos delimitados por periodo, así como el procedimiento utilizado para buscar variantes. Cuando varios operadores intervienen, designe un coordinador que mantenga una cronología única. El cierre se vuelve imposible si el WAF, el ERP y la identidad entregan informes incompatibles.

Lectura para organizaciones de Colombia

Google documenta explotación global, no víctimas colombianas identificadas. La relevancia local es verificable solo para una organización que use versiones afectadas y exponga el componente o haya tenido una ventana de exposición. Un equipo colombiano debe demostrar su propio inventario, el parche y la búsqueda de evidencia. No se debe convertir la aplicabilidad técnica en una afirmación de campaña dirigida al país.

Una revisión de Análisis de Vulnerabilidades localiza versiones y superficies; un Ethical Hacking autorizado puede comprobar si mitigaciones y límites funcionan después de actualizar. Ninguna prueba debe reproducir explotación en sistemas ajenos o sustituir una investigación cuando ya hay indicios.

Mejoras después de la urgencia

Revise cómo se gestionan avisos de producto, pruebas de regresión de WAF y solicitudes codificadas. Mantenga versiones de aplicaciones y componentes administrativos en el mismo inventario que los servicios visibles al usuario. Ensaye una actualización de emergencia y mida tiempo desde aviso hasta versión verificada. Ajuste privilegios de las cuentas de servicio y documente qué secretos podrían quedar expuestos si se compromete la capa web.

El aprendizaje general es probar el control en el mismo punto donde decide la aplicación. Un WAF que interpreta diferente una URL no debe ser el único guardián de un componente vulnerable. La próxima excepción temporal necesita criterio de aceptación, fecha y una prueba de que las variantes razonables son tratadas de forma equivalente. Un proceso repetible vale más que una regla improvisada.

Preguntas frecuentes

¿El WAF deja de ser útil?

No. Puede reducir exposición, pero una regla de cadena literal fue eludida en la campaña descrita. Aplique el parche y valide cobertura.

¿Todas las instancias PeopleSoft están comprometidas?

No. El informe describe explotación en sistemas globales; versión, exposición y evidencia local determinan la situación de cada instancia.

¿El parche elimina un web shell anterior?

No necesariamente. La corrección y la investigación retrospectiva son trabajos distintos; preserve evidencia y revise persistencia.

Compruebe el parche y la ventana de exposición

Fuentes y límites

La investigación documenta campaña y mecanismo. No confirma afectación de una organización colombiana concreta.