La CISA signale une faille dans Oracle PeopleSoft exploitée pour pirater plus de 100 écoles

Le groupe de cybercriminalité ShinyHunters a exploité une vulnérabilité critique de type « zero-day » dans Oracle ↘ 0.08% PeopleSoft pour pirater plus de 100 organisations — pour la plupart des universités — entre le 27 mai et le 9 juin, selon l'équipe de renseignement sur les menaces Mandiant de Google et plusieurs chercheurs en sécurité.csoonline+2

La vulnérabilité et la campagne d'attaque

La faille, répertoriée sous le nom de CVE-2026-35273 et affichant un score CVSS de 9,8, est une vulnérabilité d'exécution de code à distance sans authentification dans le composant Environment Management Hub de PeopleSoft Enterprise PeopleTools. Elle affecte les versions 8.61 et 8.62, ne nécessite aucune connexion ni interaction de l'utilisateur, et donne aux attaquants un contrôle total sur le serveur via un accès réseau HTTP.oracle+2

Le Threat Intelligence Group de Google, qui suit ShinyHunters sous le nom de UNC6240, a déclaré avoir informé plus de 100 organisations mondiales d'une exposition potentielle. Soixante-huit pour cent des cibles identifiées appartenaient au secteur de l'enseignement supérieur, la plupart étant basées aux États-Unis. Les pirates ont affirmé avoir volé des dossiers d'étudiants, notamment des adresses personnelles, des numéros de téléphone, des e-mails et des dates de naissance, selon TechCrunch, qui a rapporté qu'un membre de ShinyHunters a confirmé la campagne.techcrunch+3

L'attaque s'est déroulée entièrement avant qu'Oracle ne reconnaisse le problème. Oracle a publié son avis de sécurité hors bande le 10 juin, ce qui signifie que chaque organisation compromise a été touchée alors qu'aucun correctif n'existait.thehackernews+1

Réponse fédérale et atténuation

Le 12 juin, la CISA a ajouté la CVE-2026-35273 à son catalogue de vulnérabilités exploitées connues, exigeant que les agences fédérales corrigent la faille. Les conseils d'Oracle demandent aux organisations de désactiver complètement le service Environment Management Hub ou de bloquer l'accès externe aux points de terminaison `/PSEMHUB/*` et `/PSIGW/HttpListeningConnector` au niveau du périmètre réseau.securityaffairs+3

Mandiant a averti que se fier uniquement aux règles du pare-feu d'application web est insuffisant, car ces contrôles peuvent être contournés. Les organisations ont été invitées à rechercher des indicateurs de compromission, notamment des fichiers JSP inattendus, un trafic SMB sortant sur le port 445 et des fichiers XML récemment modifiés qui pourraient permettre une persistance après redémarrage.thehackernews+1

Contexte plus large

La campagne PeopleSoft marque la deuxième frappe majeure de ShinyHunters contre le secteur de l'éducation ces dernières semaines. Le groupe a précédemment piraté le système de gestion de l'apprentissage Canvas d'Instructure en mai, perturbant les examens finaux dans des universités à travers le pays. La société de sécurité Pathlock a noté que les attaquants ont laissé des cartes de visite sous la forme de fichiers nommés "README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT" sur les serveurs compromis, et que ShinyHunters continue d'extorquer les institutions touchées en menaçant de publier les données volées.highereddive+2