Η CISA επισημαίνει κενό ασφαλείας στο Oracle PeopleSoft που χρησιμοποιήθηκε για την παραβίαση 100+ σχολείων

Η ομάδα κυβερνοεγκλήματος ShinyHunters εκμεταλλεύτηκε μια κρίσιμη ευπάθεια μηδενικής ημέρας (zero-day) στο Oracle ↘ 2.74% PeopleSoft για να παραβιάσει περισσότερους από 100 οργανισμούς —τους περισσότερους εκ των οποίων πανεπιστήμια— μεταξύ 27 Μαΐου και 9 Ιουνίου, σύμφωνα με την ομάδα πληροφοριών απειλών Mandiant της Google και πολλούς ερευνητές ασφαλείας.csoonline+2

Η ευπάθεια και η εκστρατεία επίθεσης

Το κενό ασφαλείας, που παρακολουθείται ως CVE-2026-35273 και έχει βαθμολογία CVSS 9,8, είναι μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα χωρίς έλεγχο ταυτότητας στο στοιχείο Environment Management Hub του PeopleSoft Enterprise PeopleTools. Επηρεάζει τις εκδόσεις 8.61 και 8.62, δεν απαιτεί σύνδεση ή αλληλεπίδραση με τον χρήστη και παρέχει στους επιτιθέμενους πλήρη έλεγχο του διακομιστή μέσω πρόσβασης δικτύου μέσω HTTP.oracle+2

Η Ομάδα Πληροφοριών Απειλών της Google, η οποία παρακολουθεί τους ShinyHunters ως UNC6240, δήλωσε ότι ειδοποίησε περισσότερους από 100 παγκόσμιους οργανισμούς για πιθανή έκθεση. Το εξήντα οκτώ τοις εκατό των εντοπισμένων στόχων αφορούσε τον τομέα της τριτοβάθμιας εκπαίδευσης, με τους περισσότερους να εδρεύουν στις Ηνωμένες Πολιτείες. Οι χάκερ ισχυρίστηκαν ότι έκλεψαν αρχεία φοιτητών, συμπεριλαμβανομένων διευθύνσεων κατοικίας, αριθμών τηλεφώνου, email και ημερομηνιών γέννησης, σύμφωνα με το TechCrunch, το οποίο ανέφερε ότι ένα μέλος των ShinyHunters επιβεβαίωσε την εκστρατεία.techcrunch+3

Η επίθεση εκτυλίχθηκε εξ ολοκλήρου πριν η Oracle αναγνωρίσει το πρόβλημα. Η Oracle δημοσίευσε τη συμβουλευτική ενημέρωση ασφαλείας εκτός προγράμματος στις 10 Ιουνίου, πράγμα που σημαίνει ότι κάθε παραβιασμένος οργανισμός δέχθηκε επίθεση ενώ δεν υπήρχε διαθέσιμη ενημέρωση κώδικα (patch).thehackernews+1

Ομοσπονδιακή απόκριση και μετριασμός

Στις 12 Ιουνίου, η CISA πρόσθεσε το CVE-2026-35273 στον κατάλογο γνωστών εκμεταλλεύσιμων ευπαθειών, απαιτώντας από τις ομοσπονδιακές υπηρεσίες να αποκαταστήσουν το κενό ασφαλείας. Οι οδηγίες της Oracle καλούν τους οργανισμούς να απενεργοποιήσουν πλήρως την υπηρεσία Environment Management Hub ή να αποκλείσουν την εξωτερική πρόσβαση στα τελικά σημεία `/PSEMHUB/*` και `/PSIGW/HttpListeningConnector` στην περίμετρο του δικτύου.securityaffairs+3

Η Mandiant προειδοποίησε ότι η αποκλειστική εξάρτηση από κανόνες τείχους προστασίας εφαρμογών ιστού (WAF) δεν επαρκεί, καθώς αυτοί οι έλεγχοι μπορούν να παρακαμφθούν. Οι οργανισμοί κλήθηκαν να αναζητήσουν ενδείξεις παραβίασης, συμπεριλαμβανομένων απροσδόκητων αρχείων JSP, εξερχόμενης κίνησης SMB στη θύρα 445 και πρόσφατα τροποποιημένων αρχείων XML που θα μπορούσαν να επιτρέψουν τη διατήρηση της πρόσβασης μετά από επανεκκινήσεις.thehackernews+1

Ευρύτερο πλαίσιο

Η εκστρατεία στο PeopleSoft σηματοδοτεί το δεύτερο μεγάλο πλήγμα των ShinyHunters κατά του τομέα της εκπαίδευσης τις τελευταίες εβδομάδες. Η ομάδα είχε παραβιάσει προηγουμένως το σύστημα διαχείρισης μάθησης Canvas της Instructure τον Μάιο, διακόπτοντας τις τελικές εξετάσεις σε κολέγια σε ολόκληρη τη χώρα. Η εταιρεία ασφαλείας Pathlock σημείωσε ότι οι επιτιθέμενοι άφησαν «κάρτες επίσκεψης» με τη μορφή αρχείων με το όνομα "README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT" σε παραβιασμένους διακομιστές και ότι οι ShinyHunters συνεχίζουν να εκβιάζουν τα επηρεαζόμενα ιδρύματα απειλώντας να δημοσιεύσουν τα κλεμμένα δεδομένα.highereddive+2