Google bestätigt: ShinyHunters nutzte Oracle PeopleSoft Zero-Day-Lücke für Datendiebstahl

Googles Mandiant bestätigte, dass ShinyHunters CVE-2026-35273, eine kritische PeopleSoft-Schwachstelle mit einem Score von 9,8, zwischen dem 27. Mai und 9. Juni als Zero-Day-Exploit ausnutzte.securityweek+1
Die University of Nottingham bestätigte einen Sicherheitsvorfall, bei dem etwa 454.600 E-Mail-Adressen sowie Passnummern, Finanzdaten und andere persönliche Datensätze offengelegt wurden.theregister+1
Oracle veröffentlichte Abhilfemaßnahmen, aber keinen vollständigen Patch, und forderte Unternehmen dringend auf, exponierte PeopleSoft-Endpunkte sofort zu deaktivieren oder zu blockieren.securityweek+1

Die Hackergruppe ShinyHunters nutzte eine kritische Zero-Day-Schwachstelle in Oracle PeopleSoft aus, um zwischen Ende Mai und Anfang Juni in mehr als 100 Organisationen einzudringen. Universitäten waren am stärksten von der Kampagne betroffen, bei der Hunderttausende von Studentendaten offengelegt wurden, bevor Oracle eine Notfallwarnung herausgab.

Die Schwachstelle und die Kampagne

Oracle veröffentlichte am 10. Juni einen außerplanmäßigen Sicherheitshinweis für CVE-2026-35273, eine Schwachstelle zur Remotecodeausführung in den PeopleSoft Enterprise PeopleTools-Versionen 8.61 und 8.62 mit einem CVSS-Wert von 9,8. Die Schwachstelle, die sich in der Komponente „Updates Environment Management“ befindet, erfordert keine Authentifizierung und keine Benutzerinteraktion – lediglich Netzwerkzugriff über HTTP –, um eine vollständige Systemübernahme zu erreichen.fieldeffect+3

Mandiant und Googles Threat Intelligence Group bestätigten, dass ShinyHunters, intern als UNC6240 geführt, die Schwachstelle zwischen dem 27. Mai und dem 9. Juni ausnutzte. Google benachrichtigte mehr als 100 Organisationen, deren Systeme anfällige Endpunkte aufwiesen; 68 % davon stammten aus dem Hochschulsektor, die meisten davon in den Vereinigten Staaten. ShinyHunters behauptet, etwa 300 PeopleSoft-Instanzen in Cloud- und On-Premise-Umgebungen angegriffen zu haben.thehackernews+2

Mandiant-CTO Charles Carmakal bestätigte die Ausnutzung in freier Wildbahn, während die Zero Day Initiative von Trend Micro – der Oracle die Meldung der Schwachstelle zuschreibt – gegenüber SecurityWeek erklärte, dass man „derzeit eine begrenzte Ausnutzung“ sehe und die Untersuchung andauere.securityweek+1

University of Nottingham unter den Opfern

Die University of Nottingham bestätigte, dass sie zu den Betroffenen gehört. „Die University of Nottingham wurde Opfer eines Cybervorfalls, und eine bekannte Cyberkriminellengruppe hat auf eine erhebliche Menge an Daten in unserem Studentenverwaltungssystem zugegriffen“, teilte ein Sprecher gegenüber The Register mit.theregister

ShinyHunters behauptete, etwa 40 GB an Daten gestohlen zu haben, darunter Abrechnungsunterlagen, Kreditkartendaten und Informationen zur Studienfinanzierung. Der Benachrichtigungsdienst „Have I Been Pwned“ fügte den geleakten Datensatz seiner Datenbank hinzu und meldete etwa 454.600 eindeutige E-Mail-Adressen, die zusammen mit Namen, Adressen, Telefonnummern, Ethnien, Behinderungen und Passnummern offengelegt wurden.haveibeenpwned+1

Abhilfemaßnahmen ohne vollständigen Patch

Oracle hat noch keinen vollständigen Patch veröffentlicht. Die Empfehlung konzentriert sich auf die Deaktivierung des Dienstes „Environment Management Hub“ bei Multi-Server-Setups oder die Entfernung der Anwendung PSEMHUB bei Single-Server-Bereitstellungen. Organisationen, die dies nicht können, sollten den externen Zugriff auf die Endpunkte /PSEMHUB/* und /PSIGW/HttpListeningConnector am Perimeter blockieren. Mandiant warnte, dass Web-Application-Firewall-Regeln allein nicht ausreichen, da sie umgangen werden können.thehackernews+1

Sicherheitsforscher raten zur sofortigen Überprüfung der Protokolle auf externe POST-Anfragen an die betroffenen Endpunkte, unerwartete .jsp-Dateien in Webanwendungsverzeichnissen und ausgehenden SMB-Datenverkehr auf Port 445 von PeopleSoft-Hosts.pathlock+1

Quellen (14)