CISA flaggar för Oracle PeopleSoft-sårbarhet som utnyttjats för att bryta sig in hos 100+ skolor

CISA lade till Oracle PeopleSoft-sårbarheten i sin katalog över kända utnyttjade sårbarheter den 12 juni efter att ShinyHunters brutit sig in hos mer än 100 organisationer.cisa+1
Googles Mandiant uppgav att attackerna pågick från 27 maj till 9 juni, helt före Oracles rådgivning den 10 juni, där 68 % av målen fanns inom högre utbildning.thehackernews+1
Hackare hävdar att de stulit studentuppgifter och utpressar offer, enligt TechCrunch, vilket markerar ShinyHunters andra stora attack mot utbildningssektorn på några veckor.techcrunch+1

Cyberbrottsgruppen ShinyHunters utnyttjade en kritisk noll-dagars-sårbarhet i Oracle PeopleSoft för att bryta sig in hos mer än 100 organisationer – de flesta av dem universitet – mellan den 27 maj och 9 juni, enligt Googles Mandiant-hotanalysteam och flera säkerhetsforskare.csoonline+2

Sårbarheten och attackkampanjen

Felet, som spåras som CVE-2026-35273 med en CVSS-poäng på 9,8, är en oautentiserad sårbarhet för fjärrkörning av kod i PeopleSoft Enterprise PeopleTools komponent Environment Management Hub. Den påverkar versionerna 8.61 och 8.62, kräver ingen inloggning eller användarinteraktion och ger angripare full kontroll över servern genom nätverksåtkomst via HTTP.oracle+2

Googles Threat Intelligence Group, som spårar ShinyHunters som UNC6240, uppgav att de meddelat mer än 100 globala organisationer om potentiell exponering. Sextioåtta procent av de identifierade målen fanns inom högre utbildning, med de flesta baserade i USA. Hackarna hävdar att de stulit studentuppgifter inklusive hemadresser, telefonnummer, e-postadresser och födelsedatum, enligt TechCrunch, som rapporterade att en ShinyHunters-medlem bekräftat kampanjen.techcrunch+3

Attacken utspelade sig i sin helhet innan Oracle erkände problemet. Oracle publicerade sin säkerhetsrådgivning den 10 juni, vilket innebär att varje komprometterad organisation drabbades medan ingen patch fanns tillgänglig.thehackernews+1

Federal respons och åtgärder

Den 12 juni lade CISA till CVE-2026-35273 i sin katalog över kända utnyttjade sårbarheter och krävde att federala myndigheter åtgärdar felet. Oracles vägledning uppmanar organisationer att helt inaktivera tjänsten Environment Management Hub eller blockera extern åtkomst till `/PSEMHUB/*` och `/PSIGW/HttpListeningConnector`-slutpunkterna i nätverksperimetern.securityaffairs+3

Mandiant varnade för att det inte räcker att enbart förlita sig på regler för webbapplikationsbrandväggar, eftersom dessa kontroller kan kringgås. Organisationer uppmanades att leta efter indikatorer på kompromettering, inklusive oväntade JSP-filer, utgående SMB-trafik på port 445 och nyligen modifierade XML-filer som kan möjliggöra persistens vid omstarter.thehackernews+1

Bredare kontext

PeopleSoft-kampanjen markerar ShinyHunters andra stora attack mot utbildningssektorn de senaste veckorna. Gruppen bröt sig tidigare in i Instructures Canvas lärplattform i maj, vilket störde slutprov vid högskolor över hela landet. Säkerhetsföretaget Pathlock noterade att angriparna lämnade "visitkort" i form av filer med namnet "README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT" på komprometterade servrar, och att ShinyHunters fortsätter att utpressa drabbade institutioner genom att hota med att publicera stulna data.highereddive+2

Källor (23)