Falha Oracle PeopleSoft 9.8/10 deu à ShinyHunters duas semanas em 100+ organizações

Mais de 100 organizações que utilizam Oracle PeopleSoft descobriram que já estavam dentro da rede de extorsão do ShinyHunters antes de receberem qualquer notificação. A vulnerabilidade que permitiu a campanha — CVE-2026-35273, classificada com 9,8 em 10 em gravidade — não requer autenticação, interação do utilizador, nem mais nada além de acesso à rede via HTTP para executar remotamente código completo num servidor exposto.

A falha reside no componente PeopleTools Updates Environment Management do PeopleSoft, um módulo comum nas implementações de RH, informação de estudantes e gestão financeira de que universidades e empresas dependem. Os atacantes combinam-na com vulnerabilidades antigas conhecidas, numaquilo que os investigadores de segurança chamam de cadeia de gadgets, extraindo credenciais de ficheiros de configuração e mapeando depois os tiers de aplicação, web e batch em toda a infraestrutura de cada vítima. O ShinyHunters trabalhou em mais de 300 instâncias de servidores nas organizações que atacou.

O ShinyHunters opera com um modelo de roubo de dados e extorsão, em vez de encriptação. Exfiltram registos, listam os dados num portal de extorsão e libertam fugas de informação faseadas para pressionar as vítimas a pagar. Os sistemas comprometidos ficaram com um ficheiro chamado README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT. A Mandiant identificou o alcance da campanha e notificou as organizações afetadas; a Arctic Wolf publicou uma análise forense detalhada das ferramentas do grupo e dos seus padrões de movimento lateral.

As instituições de ensino superior sofreram 68 por cento do impacto — uma consequência previsível de as universidades utilizarem o PeopleSoft como espinha dorsal tanto dos sistemas de RH como de informação de estudantes na mesma implementação. A Universidade de Nottingham confirmou uma violação em que o ShinyHunters publicou mais de 40 gigabytes de dados abrangendo quase 500 mil estudantes atuais e antigos. A Associação Nacional de Comissários de Seguros dos EUA reportou 3,1 terabytes roubados. Entre as vítimas empresariais nomeadas estão a Nissan, que viu expostos registos de funcionários dos Estados Unidos, Canadá, México e Brasil, além da Kubota América do Norte e uma subsidiária japonesa da Aflac.

Os dados extraídos ao longo da campanha abrangem as categorias mais sensíveis que o PeopleSoft gere: nomes, detalhes de contacto, informações de contas bancárias, registos fiscais, números de identificação emitidos pelo governo e registos que cobrem dependentes e beneficiários. Para as universidades, isso estende-se a registos de ajuda financeira e identificações de estudantes. A combinação torna o PeopleSoft um alvo de alto rendimento — uma única instalação comprometida contém tipicamente o perfil financeiro completo da força de trabalho e da população estudantil de toda uma instituição.

A janela de exploração decorreu de 27 de maio a 9 de junho. A Oracle emitiu um aviso de emergência extraordinário a 10 de junho, fechando o vetor de ataque ativo. A correção permanente chegou a 21 de julho como parte do Critical Patch Update trimestral da Oracle — um dos maiores da história da empresa, abordando 1.455 vulnerabilidades recentemente divulgadas, incluindo dez classificadas com CVSS 10.0. As organizações que aplicaram apenas o aviso de emergência de junho devem verificar se o CPU de julho está instalado; a correção extraordinária fechou o vetor explorado pelo ShinyHunters, mas não remediou toda a cadeia de vulnerabilidades.

A Oracle recomenda aplicar imediatamente o CPU de julho, restringir temporariamente o acesso à rede às instâncias do PeopleSoft e implementar regras de WAF que desativem o componente Updates Environment Management na periferia da rede. Para os indivíduos ligados a organizações afetadas — qualquer pessoa cuja universidade, seguradora ou empregador utilize o PeopleSoft para RH, processamento salarial ou administração de estudantes — o modelo de libertação faseada do ShinyHunters significa que dados que ainda não surgiram publicamente podem ainda aparecer em portais de fuga nas próximas semanas. Verificar os relatórios de crédito e monitorizar a utilização suspeita de identificação governamental é o passo prático a curto prazo.

Etiquetas: cibersegurança, CVE-2026-35273, Oracle, PeopleSoft, ShinyHunters, violação de dados