Security · 26/09/2026

O Fracasso do Patching Virtual: Como Bypass de WAF em Ataques ao PeopleSoft Expoe a Vulnerabilidade de Mitigacoes Perimetrais

A dependência de assinaturas de Web Application Firewalls para conter vulnerabilidades críticas cria uma ilusão de segurança operacional. A tese central é que o patching virtual sem a devida sanitização na origem transfere o risco para camadas incapazes de processar a complexidade de codificação usada por atacantes, exigindo defesas focadas em blindagem interna de código e validação estrita.

O que está acontecendo

O grupo de extorsão ShinyHunters está explorando ativamente uma vulnerabilidade crítica no Oracle PeopleSoft (CVE-2026-35273) utilizando técnicas de codificação de URL para contornar as regras de proteção de Web Application Firewalls (WAF). Essas regras de WAF foram inicialmente implementadas pelas equipes de engenharia de segurança como uma medida de patching virtual de emergência para conter o exploit enquanto as correções oficiais não eram aplicadas.

O ataque funciona porque os invasores utilizam truques de codificação que não são normalizados de forma idêntica pelo WAF e pelo servidor de aplicação que processa a requisição final. Esse descompasso de interpretação permite que a carga maliciosa passe pela borda sem disparar os alertas de assinatura do WAF, sendo decodificada e executada com sucesso no servidor de destino.

Insights e Riscos

A exploração desse bypass joga luz sobre falhas estruturais na arquitetura de segurança que muitas organizações ignoram ao desenhar suas defesas perimetrais.

• O Problema de Canonicalização e Dupla Codificação: Os WAFs de mercado geralmente analisam o tráfego realizando uma única passagem de decodificação para economizar recursos computacionais. Se um atacante envia uma entrada codificada múltiplas vezes ou com variações de conjuntos de caracteres específicos, o motor de regras do WAF pode falhar em identificar o padrão de ataque, enquanto o interpretador de destino da aplicação decodifica o payload recursivamente, processando a instrução maliciosa.
• O Trade-off de Latência vs. Inspeção Profunda: Forçar um WAF a realizar varreduras recursivas de decodificação em cada pacote recebido impõe uma penalidade severa de performance. Em aplicações transacionais de alta concorrência, esse atraso é intolerável, o que força os arquitetos de infraestrutura a desabilitar ou suavizar as regras de normalização do firewall para evitar a degradação dos serviços legítimos.
• A Fragilidade das Assinaturas de Patching Virtual: Criar assinaturas de WAF específicas para bloquear uma vulnerabilidade específica é um esforço reativo que gera falsos negativos constantes. Pequenas variações de sintaxe ou a introdução de caracteres nulos conseguem invalidar a assinatura sem alterar o efeito do exploit na aplicação.

O que muda na prática

Engenheiro de Segurança

Deve reavaliar a eficácia de regras de patching virtual de terceiros e parar de tratá-las como mitigação permanente. A estratégia de validação deve focar no monitoramento de comportamento em tempo de execução, como ferramentas de RASP (Runtime Application Self-Protection), que validam os dados quando eles já foram decodificados pela própria aplicação, anulando os truques de codificação de borda.

Arquiteto

Precisa desenhar zonas de rede altamente isoladas para sistemas legados ou vulneráveis. Se a aplicação não pode ser atualizada imediatamente, ela deve operar sob o modelo de confiança zero, limitando o acesso a APIs e impondo controles de acesso de rede que restrinjam a comunicação de saída do servidor comprometido, de forma a conter o impacto de um eventual bypass do WAF.

DevOps/MLOps

Devem priorizar a automação de pipelines de aplicação de patches reais fornecidos pelos fabricantes. Mitigações perimetrais devem ser tratadas estritamente como ferramentas temporárias com janelas de expiração curtas. O foco do fluxo de CI/CD deve ser a capacidade de implantar patches oficiais de segurança em produção de maneira rápida e segura, reduzindo a dependência de defesas de rede.

Conclusão direta

O incidente de bypass de WAF do ShinyHunters ilustra que delegar a segurança de vulnerabilidades de nível de aplicação para a camada de rede é uma decisão de arquitetura frágil e perigosa. O patching virtual pode servir como um curativo imediato para ganhar tempo, mas nunca deve ser considerado uma alternativa ao patch de código real e à higienização estrita de inputs no servidor. Como sua organização valida se as regras de virtual patching no seu WAF estão de fato protegendo a aplicação contra variações avançadas de payloads ou se estão apenas mascarando uma brecha crítica?

Fontes

[Fonte: BleepingComputer] ShinyHunters uses WAF bypass trick in Oracle PeopleSoft attacks