CISA señala una vulnerabilidad en Oracle PeopleSoft explotada para vulnerar más de 100 escuelas

CISA añadió la vulnerabilidad de Oracle PeopleSoft a su catálogo de vulnerabilidades explotadas conocidas el 12 de junio, después de que ShinyHunters vulnerara más de 100 organizaciones.cisa+1
Mandiant de Google afirmó que los ataques ocurrieron entre el 27 de mayo y el 9 de junio, totalmente antes del aviso de Oracle del 10 de junio, con un 68% de los objetivos en la educación superior.thehackernews+1
Los hackers afirmaron haber robado registros de estudiantes y están extorsionando a las víctimas, según TechCrunch, lo que marca el segundo ataque importante de ShinyHunters al sector educativo en semanas.techcrunch+1

El grupo de ciberdelincuencia ShinyHunters explotó una vulnerabilidad crítica de día cero en Oracle PeopleSoft para vulnerar más de 100 organizaciones —la mayoría de ellas universidades— entre el 27 de mayo y el 9 de junio, según el equipo de inteligencia de amenazas Mandiant de Google y múltiples investigadores de seguridad.csoonline+2

La vulnerabilidad y la campaña de ataque

El fallo, rastreado como CVE-2026-35273 y con una puntuación CVSS de 9.8, es una vulnerabilidad de ejecución remota de código sin autenticación en el componente Environment Management Hub de PeopleSoft Enterprise PeopleTools. Afecta a las versiones 8.61 y 8.62, no requiere inicio de sesión ni interacción del usuario, y otorga a los atacantes el control total del servidor a través del acceso a la red mediante HTTP.oracle+2

El Grupo de Inteligencia de Amenazas de Google, que rastrea a ShinyHunters como UNC6240, dijo que notificó a más de 100 organizaciones globales sobre una posible exposición. El sesenta y ocho por ciento de los objetivos identificados pertenecían al sector de la educación superior, con la mayoría radicados en Estados Unidos. Los hackers afirmaron haber robado registros de estudiantes, incluyendo direcciones particulares, números de teléfono, correos electrónicos y fechas de nacimiento, según TechCrunch, que informó que un miembro de ShinyHunters confirmó la campaña.techcrunch+3

El ataque se desarrolló completamente antes de que Oracle reconociera el problema. Oracle publicó su aviso de seguridad fuera de banda el 10 de junio, lo que significa que cada organización comprometida fue atacada mientras no existía ningún parche.thehackernews+1

Respuesta federal y mitigación

El 12 de junio, CISA añadió CVE-2026-35273 a su catálogo de vulnerabilidades explotadas conocidas, exigiendo a las agencias federales que remediaran el fallo. La guía de Oracle pide a las organizaciones que deshabiliten el servicio Environment Management Hub por completo o bloqueen el acceso externo a los puntos finales `/PSEMHUB/*` y `/PSIGW/HttpListeningConnector` en el perímetro de la red.securityaffairs+3

Mandiant advirtió que confiar únicamente en las reglas del firewall de aplicaciones web es insuficiente, ya que estos controles pueden ser eludidos. Se instó a las organizaciones a buscar indicadores de compromiso, incluyendo archivos JSP inesperados, tráfico SMB saliente en el puerto 445 y archivos XML modificados recientemente que podrían permitir la persistencia tras los reinicios.thehackernews+1

Contexto más amplio

La campaña de PeopleSoft marca el segundo gran ataque de ShinyHunters contra el sector educativo en las últimas semanas. El grupo vulneró previamente el sistema de gestión de aprendizaje Canvas de Instructure en mayo, interrumpiendo los exámenes finales en universidades de todo el país. La firma de seguridad Pathlock señaló que los atacantes dejaron tarjetas de visita en forma de archivos llamados "README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT" en los servidores comprometidos, y que ShinyHunters continúa extorsionando a las instituciones afectadas amenazando con publicar los datos robados.highereddive+2

Fuentes (23)