Google potvrzuje, že skupina ShinyHunters zneužila zero-day zranitelnost v Oracle PeopleSoft ke krádeži dat

Hakerská skupina ShinyHunters zneužila kritickou zero-day zranitelnost v systému Oracle ↘ 4.64% PeopleSoft k napadení více než 100 organizací mezi koncem května a začátkem června. Nejvíce byla zasažena univerzita, kde byly před vydáním nouzového doporučení od Oracle vystaveny stovky tisíc studentských záznamů.

Zranitelnost a kampaň

Společnost Oracle vydala 10. června mimořádné bezpečnostní upozornění na CVE-2026-35273, chybu vzdáleného spuštění kódu ve verzích PeopleSoft Enterprise PeopleTools 8.61 a 8.62 se skóre CVSS 9,8. Zranitelnost, která se nachází v komponentě Updates Environment Management, nevyžaduje žádnou autentizaci ani interakci uživatele – pouze síťový přístup přes HTTP – k dosažení úplného převzetí systému.fieldeffect+3

Mandiant a skupina Google Threat Intelligence potvrdily, že ShinyHunters, interně sledovaná jako UNC6240, zneužila tuto chybu mezi 27. květnem a 9. červnem. Google upozornil více než 100 organizací, jejichž systémy odpovídaly zranitelným koncovým bodům, přičemž 68 % z nich působí v sektoru vysokého školství, většinou ve Spojených státech. ShinyHunters tvrdí, že se zaměřila na přibližně 300 instancí PeopleSoft v cloudovém i lokálním prostředí.thehackernews+2

Technický ředitel Mandiant Charles Carmakal potvrdil zneužití v reálném provozu, zatímco iniciativa Zero Day Initiative společnosti Trend Micro – které Oracle připsal zásluhy za nahlášení chyby – pro SecurityWeek uvedla, že „aktuálně sleduje omezené zneužívání“ a probíhá vyšetřování.securityweek+1

Nottinghamská univerzita mezi oběťmi

Nottinghamská univerzita potvrdila, že patří mezi napadené. „Nottinghamská univerzita se stala obětí kybernetického incidentu a známá skupina kyberzločinců získala přístup k významnému množství dat v našem systému studentských záznamů,“ uvedl mluvčí pro The Register.theregister

ShinyHunters tvrdí, že ukradla přibližně 40 GB dat včetně fakturačních záznamů, údajů o kreditních kartách a informací o financování studentů. Služba pro upozorňování na úniky dat Have I Been Pwned přidala uniklou datovou sadu do své databáze a nahlásila přibližně 454 600 unikátních e-mailových adres vystavených spolu se jmény, adresami, telefonními čísly, etnickou příslušností, zdravotním postižením a čísly pasů.haveibeenpwned+1

Zmírnění bez kompletní opravy

Oracle nevydala kompletní opravu. Její pokyny se zaměřují na deaktivaci služby Environment Management Hub u víceserverových nastavení nebo odstranění aplikace PSEMHUB u instalací na jednom serveru. Organizace, které to nemohou provést, by měly na obvodu sítě zablokovat externí přístup ke koncovým bodům /PSEMHUB/* a /PSIGW/HttpListeningConnector. Mandiant varoval, že pravidla webového aplikačního firewallu sama o sobě nesta， protože je lze obejít.thehackernews+1

Bezpečnostní výzkumníci doporučují okamžitou kontrolu protokolů na externí požadavky POST na postižené koncové body, výskyt neočekávaných souborů .jsp v adresářích webových aplikací a odchozí provoz SMB na portu 445 z hostitelů PeopleSoft.pathlock+1