PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
PeopleSoft e WAF: a mesma requisição chega diferente à aplicação?
Bloquear um endereço visível não demonstra que todas as rotas equivalentes foram bloqueadas. Uma revisão precisa ligar a decisão na borda ao serviço que recebeu a requisição.
Por Pentesty
O que as fontes documentam
Em 25 de setembro de 2026, a Mandiant/GTIG relatou exploração renovada da CVE-2026-35273 no PeopleSoft, com variações codificadas de caminhos que contornavam regras literais de WAF. A Oracle descreve execução remota sem autenticação e publicou seu alerta em 10 de junho. O relato não demonstra que todo WAF seja vulnerável. A análise abaixo propõe critérios de verificação para ambientes autorizados.
O objeto da decisão precisa ser o mesmo
Uma requisição atravessa componentes que podem interpretar o endereço em etapas diferentes. Para a empresa, a pergunta operacional é qual recurso cada camada entendeu que estava sendo solicitado. Se o inventário registra apenas o endereço apresentado no navegador, pode deixar de representar o caminho que a aplicação realmente atende.
Escolha um fluxo relevante e desenhe sua passagem pela borda, pelos intermediários e pelo servidor final. Registre o identificador usado para correlacionar os eventos. A intenção é permitir que duas equipes expliquem a mesma transação sem depender de uma captura isolada da tela do WAF.
Defina equivalências e exceções antes de testar
O responsável pela aplicação deve informar quais representações são válidas e quais recursos precisam permanecer inacessíveis a cada origem. A equipe de infraestrutura descreve onde ocorre a decisão. Essa combinação transforma uma regra genérica em uma hipótese verificável, com resultado esperado para acesso permitido e negado.
Use primeiro uma rota inofensiva de homologação com comportamento conhecido. Uma matriz pode comparar representações aceitas pelo próprio serviço, sem enviar objetos de exploração ou instalar arquivos. A análise da fila de vulnerabilidades ajuda a vincular esse exercício ao ativo, ao responsável e à pendência de correção.
Preserve três resultados no mesmo exercício
A proposta da Pentesty é guardar a decisão da borda, o recebimento na origem e o efeito observado. A ausência de um registro na aplicação deve ser interpretada junto com a cobertura de logs, não como prova automática de bloqueio. Um identificador ausente pode revelar uma lacuna de observação.
Acorde janela, limites de volume e condição de interrupção com os responsáveis. O exercício deve manter um caminho legítimo funcionando e usar somente dados fictícios. Documente a configuração aplicada durante o teste, inclusive exceções temporárias que possam explicar diferenças.
- Caminho permitido: a operação de referência funciona e seus registros podem ser correlacionados.
- Caminho negado: a decisão prevista aparece no controle e o efeito proibido não ocorre no serviço de teste.
- Interpretação divergente: a equipe identifica onde o recurso reconhecido mudou e quem precisa revisar a regra.
- Observabilidade: horários, identificadores e cobertura dos registros permitem sustentar a conclusão.
Correção e bloqueio temporário exigem evidências próprias
Uma regra compensatória precisa de responsável, prazo e condição de revisão. Não encerre a tarefa de atualização apenas porque o teste de borda passou. A aceitação deve incluir o estado do componente instalado e dos nós que podem receber tráfego, dentro do escopo definido com a operação.
Se houver indícios de comprometimento anterior, encaminhe a apuração à equipe responsável antes de alterar evidências. A análise do caso Hafnium e Exchange trata dessa diferença entre instalar uma correção e investigar acessos já obtidos. O produto é outro; a comparação se limita ao critério de encerramento.
Entregue uma conclusão que possa ser repetida
O relatório deve associar cada resultado ao caminho, à identidade, à configuração e à versão observados. Registre os intermediários ou ambientes que não puderam ser avaliados. Um teste aprovado em homologação não mede sozinho a configuração de produção.
Ao mudar roteamento, proxy ou aplicação, repita os casos pertinentes. A entrega útil é uma explicação verificável de onde a decisão foi aplicada e do que permanece pendente. O objetivo é demonstrar que o serviço recebeu apenas as operações previstas para aquele acesso.
Perguntas frequentes
Ter WAF significa que posso adiar a correção do PeopleSoft?
A regra deve ser avaliada como controle compensatório com limites e prazo. O aceite da atualização precisa demonstrar o estado do componente, além do bloqueio observado na borda.
O relato prova falha em todos os produtos de WAF?
Não. Ele descreve regras literais contornadas nos ambientes observados. A revisão precisa verificar a configuração e a interpretação dos caminhos no ambiente concreto.
Preciso instalar uma web shell para testar equivalência?
Não para esse objetivo. Uma rota inofensiva de homologação e registros correlacionados podem demonstrar como as camadas interpretam uma requisição, sem reproduzir a exploração.
Um bloqueio na borda encerra uma suspeita de invasão anterior?
Não. A investigação dos acessos anteriores exige evidências próprias. Preserve registros e combine a apuração com os responsáveis pelo serviço e pela resposta a incidentes.
Fontes e referências
Análise original da Pentesty, publicada em 16 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.