O grupo de extorsão ShinyHunters explorou uma vulnerabilidade não corrigida no Oracle PeopleSoft para invadir sistemas empresariais, roubar dados e exigir pagamento para não divulgá-los. As universidades foram os principais alvos dessa campanha. A Mandiant, empresa de segurança da Google, atribui essas ações ao grupo UNC6240, com atividades registradas entre 27 de maio e 9 de junho. A Oracle divulgou um aviso sobre a falha apenas em 10 de junho, classificando-a como uma zero-day até então.
A falha, identificada como CVE-2026-35273, é um bug de execução remota de código no PeopleSoft Enterprise PeopleTools, com uma classificação de gravidade de 9,8 em 10. Essa vulnerabilidade não requer login ou interação do usuário, apenas acesso à rede via HTTP para comprometer o servidor. A falha está no componente de Gerenciamento de Atualizações, que suporta o Environment Management Hub (PSEMHUB). As versões 8.61 e 8.62 do PeopleTools são afetadas, e versões anteriores também podem ser vulneráveis.
A Mandiant notificou mais de 100 organizações com endereços IP vulneráveis, sendo 68% delas instituições de ensino superior, principalmente nos Estados Unidos. Algumas conseguiram bloquear a atividade, mas outras tiveram dados expostos. A Universidade de Nottingham confirmou ser uma das vítimas, com cerca de 455.000 endereços de e-mail únicos vazados, incluindo informações pessoais de estudantes e ex-alunos.
A Oracle recomenda desativar o serviço Environment Management Hub em configurações de múltiplos servidores ou remover o aplicativo PSEMHUB em configurações de servidor único. Caso isso não seja possível, deve-se bloquear o acesso externo a diretórios específicos. A Mandiant alerta que apenas regras de inspeção de corpo de WAF não são suficientes, pois podem ser contornadas. A aplicação das atualizações da Oracle para a versão do PeopleTools é essencial assim que estiverem disponíveis.
Fonte:https://thehackernews.com/2026/06/shinyhunters-exploits-oracle-peoplesoft.html
