CISA įspėja apie „Oracle PeopleSoft“ spragą, panaudotą įsilaužiant į daugiau nei 100 mokyklų

Kibernetinių nusikaltėlių grupė „ShinyHunters“ išnaudojo kritinę „nulinės dienos“ pažeidžiamumą „Oracle“ ↗ 3.55% „PeopleSoft“ sistemoje, kad įsilaužtų į daugiau nei 100 organizacijų – daugiausia universitetų – laikotarpiu nuo gegužės 27 d. iki birželio 9 d., pranešė „Google“ grėsmių žvalgybos komanda „Mandiant“ ir kiti saugumo tyrėjai.csoonline+2

Pažeidžiamumas ir atakų kampanija

Ši spraga, registruota kaip CVE-2026-35273 ir turinti 9,8 CVSS balą, yra neautentifikuoto nuotolinio kodo vykdymo pažeidžiamumas „PeopleSoft Enterprise PeopleTools“ aplinkos valdymo centro komponente. Ji paveikia 8.61 ir 8.62 versijas, nereikalauja prisijungimo ar vartotojo sąveikos ir suteikia užpuolikams visišką serverio kontrolę per tinklo prieigą naudojant HTTP.oracle+2

„Google“ grėsmių žvalgybos grupė, kuri „ShinyHunters“ stebi kaip UNC6240, teigė informavusi daugiau nei 100 pasaulinių organizacijų apie galimą pavojų. 68 % nustatytų taikinių priklausė aukštojo mokslo sektoriui, dauguma jų įsikūrę Jungtinėse Valstijose. Programišiai teigia pavogę studentų duomenis, įskaitant namų adresus, telefono numerius, el. pašto adresus ir gimimo datas, pranešė „TechCrunch“, nurodydamas, kad „ShinyHunters“ narys patvirtino šią kampaniją.techcrunch+3

Ataka įvyko dar prieš „Oracle“ pripažįstant problemą. „Oracle“ paskelbė savo neeilinį saugumo pranešimą birželio 10 d., o tai reiškia, kad visos nukentėjusios organizacijos buvo užpultos dar neturint pataisos.thehackernews+1

Federalinis atsakas ir švelninimo priemonės

Birželio 12 d. CISA įtraukė CVE-2026-35273 į savo žinomų išnaudotų pažeidžiamumų katalogą, įpareigodama federalines agentūras pašalinti spragą. „Oracle“ rekomenduoja organizacijoms visiškai išjungti aplinkos valdymo centro paslaugą arba užblokuoti išorinę prieigą prie `/PSEMHUB/*` ir `/PSIGW/HttpListeningConnector` galinių punktų tinklo perimetre.securityaffairs+3

„Mandiant“ įspėjo, kad vien tik pasikliauti žiniatinklio programų ugniasienės taisyklėmis nepakanka, nes šias kontrolės priemones galima apeiti. Organizacijos buvo raginamos ieškoti kompromitacijos požymių, įskaitant netikėtus JSP failus, išeinantį SMB srautą 445 prievadu ir neseniai modifikuotus XML failus, kurie galėtų užtikrinti pastovumą po perkrovimų.thehackernews+1

Platesnis kontekstas

„PeopleSoft“ kampanija yra antrasis didelis „ShinyHunters“ smūgis švietimo sektoriui per pastarąsias savaites. Grupė anksčiau gegužės mėnesį įsilaužė į „Instructure“ „Canvas“ mokymosi valdymo sistemą, sutrikdydama baigiamuosius egzaminus kolegijose visoje šalyje. Saugumo įmonė „Pathlock“ pažymėjo, kad užpuolikai kompromituotuose serveriuose paliko „vizitines korteles“ – failus pavadinimu „README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT“, ir kad „ShinyHunters“ toliau šantažuoja nukentėjusias institucijas grasindama paviešinti pavogtus duomenis.highereddive+2