Google bekräftar att ShinyHunters utnyttade Oracle PeopleSoft zero-day för att stjäla data

Hackergruppen ShinyHunters utnyttjade en kritisk zero-day-sårbarhet i Oracle ↘ 4.64% PeopleSoft för att bryta sig in i mer än 100 organisationer mellan slutet av maj och början av juni. Universitet drabbades hårdast i en kampanj som exponerade hundratusentals studentuppgifter innan Oracle utfärdade en nödvarning.

Sårbarheten och kampanjen

Oracle utfärdade en extra säkerhetsvarning den 10 juni för CVE-2026-35273, en sårbarhet för fjärrkörning av kod i PeopleSoft Enterprise PeopleTools version 8.61 och 8.62 med en CVSS-poäng på 9,8. Sårbarheten, som finns i komponenten Updates Environment Management, kräver ingen autentisering eller användarinteraktion – endast nätverksåtkomst via HTTP – för att uppnå fullständig kontroll över systemet.fieldeffect+3

Mandiant och Googles Threat Intelligence Group bekräftade att ShinyHunters, internt spårad som UNC6240, utnyttjade sårbarheten mellan den 27 maj och 9 juni. Google meddelade mer än 100 organisationer vars system matchade sårbara slutpunkter, varav 68 % fanns inom sektorn för högre utbildning, de flesta i USA. ShinyHunters hävdar att de riktat in sig på cirka 300 PeopleSoft-instanser i både molnbaserade och lokala miljöer.thehackernews+2

Mandiant CTO Charles Carmakal bekräftade utnyttjande i det vilda, medan Trend Micros Zero Day Initiative – som Oracle krediterade för att ha rapporterat sårbarheten – berättade för SecurityWeek att de "för närvarande ser begränsat utnyttjande" med en pågående utredning.securityweek+1

University of Nottingham bland offren

University of Nottingham bekräftade att de var bland de drabbade. "University of Nottingham har varit föremål för en cyberincident och en betydande mängd data i vårt studentsystem har kommit åt av en välkänd cyberkriminell grupp", sa en talesperson till The Register.theregister

ShinyHunters hävdar att de stulit cirka 40 GB data inklusive faktureringsuppgifter, kreditkortsuppgifter och information om studentfinansiering. Tjänsten för meddelanden om dataintrång, Have I Been Pwned, lade till den läckta datamängden i sin databas och rapporterade om cirka 454 600 unika e-postadresser som exponerats tillsammans med namn, adresser, telefonnummer, etnicitet, funktionsnedsättningar och passnummer.haveibeenpwned+1

Begränsningsåtgärder utan full patch

Oracle har inte släppt en fullständig patch. Deras vägledning fokuserar på att inaktivera tjänsten Environment Management Hub på uppsättningar med flera servrar, eller ta bort PSEMHUB-applikationen på installationer med en server. Organisationer som inte kan göra detta bör blockera extern åtkomst till /PSEMHUB/* och /PSIGW/HttpListeningConnector-slutpunkter i perimeternätverket. Mandiant varnade för att regler i en webbapplikationsbrandvägg ensamt inte är tillräckligt, eftersom de kan kringgås.thehackernews+1

Säkerhetsforskare råder till omedelbar granskning av loggar för externa POST-förfrågningar till de berörda slutpunkterna, oväntade .jsp-filer i webbapplikationskataloger och utgående SMB-trafik på port 445 från PeopleSoft-värdar.pathlock+1