CISA flagger Oracle PeopleSoft-sårbarhet utnyttet for å bryte seg inn hos 100+ skoler

Cyberkrim-gruppen ShinyHunters utnyttet en kritisk null-dagers sårbarhet i Oracle ↗ 0.49% PeopleSoft for å bryte seg inn hos mer enn 100 organisasjoner – de fleste av dem universiteter – mellom 27. mai og 9. juni, ifølge Googles Mandiant-trusselekspertteam og flere sikkerhetsforskere.csoonline+2

Sårbarheten og angrepskampanjen

Feilen, sporet som CVE-2026-35273 med en CVSS-score på 9,8, er en uautentisert sårbarhet for fjernkjøring av kode i PeopleSoft Enterprise PeopleTools' Environment Management Hub-komponent. Den påvirker versjonene 8.61 og 8.62, krever ingen innlogging eller brukerinteraksjon, og gir angripere full kontroll over serveren gjennom nettverkstilgang via HTTP.oracle+2

Googles Threat Intelligence Group, som sporer ShinyHunters som UNC6240, sa at de varslet mer enn 100 globale organisasjoner om potensiell eksponering. 68 prosent av de identifiserte målene var innen høyere utdanning, med de fleste basert i USA. Hackerne hevder å ha stjålet studentopplysninger inkludert hjemmeadresser, telefonnumre, e-poster og fødselsdatoer, ifølge TechCrunch, som rapporterte at et ShinyHunters-medlem bekreftet kampanjen.techcrunch+3

Angrepet utspilte seg i sin helhet før Oracle anerkjente problemet. Oracle publiserte sin sikkerhetsrådgivning den 10. juni, noe som betyr at hver kompromitterte organisasjon ble rammet mens ingen oppdatering eksisterte.thehackernews+1

Føderal respons og tiltak

Den 12. juni la CISA til CVE-2026-35273 i sin katalog over kjente utnyttede sårbarheter, og krevde at føderale etater utbedrer feilen. Oracles veiledning oppfordrer organisasjoner til å deaktivere Environment Management Hub-tjenesten fullstendig eller blokkere ekstern tilgang til `/PSEMHUB/*` og `/PSIGW/HttpListeningConnector`-endepunktene i nettverksperimeteret.securityaffairs+3

Mandiant advarte om at det ikke er tilstrekkelig å stole utelukkende på regler for webapplikasjonsbrannmurer, da disse kontrollene kan omgås. Organisasjoner ble oppfordret til å lete etter indikatorer på kompromittering, inkludert uventede JSP-filer, utgående SMB-trafikk på port 445 og nylig modifiserte XML-filer som kan muliggjøre persistens på tvers av omstarter.thehackernews+1

Bredere kontekst

PeopleSoft-kampanjen markerer ShinyHunters' andre store angrep mot utdanningssektoren de siste ukene. Gruppen brøt seg tidligere inn i Instructures Canvas læringsplattform i mai, noe som forstyrret eksamener ved høyskoler over hele landet. Sikkerhetsfirmaet Pathlock bemerket at angriperne etterlot seg «visittkort» i form av filer med navnet «README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT» på kompromitterte servere, og at ShinyHunters fortsetter å utpresse berørte institusjoner ved å true med å publisere stjålne data.highereddive+2