CISA varoittaa Oracle PeopleSoft -haavoittuvuudesta, jota käytettiin yli 100 koulun tietomurtoon

Kyberrikollisryhmä ShinyHunters hyödynsi kriittistä nollapäivähaavoittuvuutta Oracle ↗ 3.08% PeopleSoftissa murtautuakseen yli 100 organisaatioon – joista useimmat olivat yliopistoja – 27. toukokuuta ja 9. kesäkuuta välisenä aikana, kertovat Googlen Mandiant-uhkatiedustelutiimi ja useat tietoturvatutkijat.csoonline+2

Haavoittuvuus ja hyökkäyskampanja

Haavoittuvuus, jota seurataan tunnuksella CVE-2026-35273 ja jonka CVSS-pistemäärä on 9,8, on todennusta vaatimaton etäkoodin suoritushaavoittuvuus PeopleSoft Enterprise PeopleTools -ohjelmiston Environment Management Hub -komponentissa. Se vaikuttaa versioihin 8.61 ja 8.62, ei vaadi kirjautumista tai käyttäjän toimia, ja antaa hyökkääjille täyden palvelimen hallinnan HTTP-verkkoyhteyden kautta.oracle+2

Googlen uhkatiedusteluryhmä, joka seuraa ShinyHuntersia nimellä UNC6240, ilmoitti ilmoittaneensa yli 100 maailmanlaajuiselle organisaatiolle mahdollisesta altistumisesta. 68 prosenttia tunnistetuista kohteista kuului korkeakoulusektoriin, ja useimmat niistä sijaitsivat Yhdysvalloissa. Hakkerit väittivät varastaneensa opiskelijatietoja, mukaan lukien kotiosoitteita, puhelinnumeroita, sähköpostiosoitteita ja syntymäaikoja, kertoo TechCrunch, joka raportoi ShinyHuntersin jäsenen vahvistaneen kampanjan.techcrunch+3

Hyökkäys tapahtui kokonaisuudessaan ennen kuin Oracle tunnusti ongelman. Oracle julkaisi poikkeuksellisen tietoturvatiedotteensa 10. kesäkuuta, mikä tarkoittaa, että jokaiseen vaarantuneeseen organisaatioon hyökättiin aikana, jolloin korjauspäivitystä ei ollut olemassa.thehackernews+1

Liittovaltion vastaus ja lieventäminen

CISA lisäsi 12. kesäkuuta CVE-2026-35273:n tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloonsa ja vaati liittovaltion virastoja korjaamaan haavoittuvuuden. Oraclen ohjeistus kehottaa organisaatioita poistamaan Environment Management Hub -palvelun kokonaan käytöstä tai estämään ulkoisen pääsyn `/PSEMHUB/*`- ja `/PSIGW/HttpListeningConnector`-päätepisteisiin verkon reunalla.securityaffairs+3

Mandiant varoitti, että pelkkään verkkosovellusten palomuurisääntöihin luottaminen ei riitä, sillä nämä hallintakeinot voidaan kiertää. Organisaatioita kehotettiin etsimään merkkejä vaarantumisesta, kuten odottamattomia JSP-tiedostoja, lähtevää SMB-liikennettä portissa 445 ja äskettäin muokattuja XML-tiedostoja, jotka voisivat mahdollistaa pysyvyyden uudelleenkäynnistysten jälkeen.thehackernews+1

Laajempi asiayhteys

PeopleSoft-kampanja on ShinyHuntersin toinen merkittävä isku koulutussektoria vastaan viime viikkoina. Ryhmä murtautui aiemmin toukokuussa Instructuren Canvas-oppimisen hallintajärjestelmään, mikä häiritsi loppukokeita korkeakouluissa ympäri maata. Tietoturvayhtiö Pathlock totesi, että hyökkääjät jättivät vaarantuneille palvelimille käyntikortteja tiedostoina, joiden nimi oli "README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT", ja että ShinyHunters jatkaa kohteena olevien laitosten kiristämistä uhkaamalla julkaista varastetut tiedot.highereddive+2