Falla Oracle PeopleSoft 9.8/10: ShinyHunters dentro a 100+ organizzazioni per due settimane

Oltre 100 organizzazioni che utilizzano Oracle PeopleSoft hanno scoperto di essere finite nella rete di estorsione di ShinyHunters prima ancora di ricevere una notifica. La vulnerabilità che ha permesso la campagna – CVE-2026-35273, con un punteggio di 9.8 su 10 – non richiede autenticazione, interazione da parte dell’utente, né altro che accesso alla rete via HTTP per ottenere l’esecuzione remota di codice su un server esposto.

La falla si trova nel componente PeopleTools Updates Environment Management di PeopleSoft, un modulo comune alle implementazioni di HR, informazioni sugli studenti e gestione finanziaria su cui università e aziende fanno affidamento. Gli attaccanti la combinano con vulnerabilità più vecchie in quella che i ricercatori di sicurezza chiamano una catena di gadget, estraendo credenziali dai file di configurazione e mappando quindi i tier applicativi, web e batch collegati attraverso l’infrastruttura di ogni vittima. ShinyHunters ha lavorato su più di 300 istanze server nelle organizzazioni colpite.

ShinyHunters opera con un modello di furto di dati ed estorsione, non di crittografia. Esfiltrano i record, elencano i dati su un portale di estorsione e rilasciano fughe di notizie scaglionate per fare pressione sulle vittime affinché paghino. Sui sistemi compromessi è stato lasciato un file chiamato README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT. Mandiant ha identificato la portata della campagna e ha notificato le organizzazioni colpite; Arctic Wolf ha pubblicato un’analisi forense dettagliata degli strumenti del gruppo e dei modelli di movimento laterale.

Le istituzioni di istruzione superiore hanno subito il 68 percento dell’impatto – una conseguenza prevedibile del fatto che le università utilizzano PeopleSoft come spina dorsale sia dei sistemi HR che di quelli informativi per gli studenti nella stessa implementazione. L’Università di Nottingham ha confermato una violazione in cui ShinyHunters ha pubblicato più di 40 gigabyte di dati che riguardano quasi 500.000 studenti attuali ed ex. La National Association of Insurance Commissioners ha segnalato il furto di 3.1 terabyte. Tra le vittime aziendali nominate figurano Nissan, che ha visto esposti i record dei dipendenti di Stati Uniti, Canada, Messico e Brasile, oltre a Kubota North America e una sussidiaria giapponese di Aflac.

I dati estratti nel corso della campagna coprono le categorie più sensibili che PeopleSoft gestisce: nomi, dettagli di contatto, informazioni sui conti bancari, registri fiscali, numeri di identificazione rilasciati dal governo e record relativi a persone a carico e beneficiari. Per le università, ciò include i registri degli aiuti finanziari e gli ID degli studenti. Questa combinazione rende PeopleSoft un obiettivo ad alto rendimento – una singola installazione compromessa contiene in genere il profilo finanziario completo dell’intera forza lavoro e della popolazione studentesca di un’istituzione.

La finestra di sfruttamento è andata dal 27 maggio al 9 giugno. Oracle ha emesso un avviso di emergenza fuori banda il 10 giugno, chiudendo il vettore di attacco attivo. La correzione permanente è arrivata il 21 luglio come parte del Critical Patch Update trimestrale di Oracle – uno dei più grandi nella storia dell’azienda, che ha affrontato 1.455 vulnerabilità appena scoperte, incluse dieci con punteggio CVSS 10.0. Le organizzazioni che hanno applicato solo l’avviso di emergenza di giugno dovrebbero verificare che il CPU di luglio sia installato; la patch fuori banda ha chiuso il vettore sfruttato da ShinyHunters ma non ha risolto l’intera catena di vulnerabilità.

Oracle raccomanda di applicare immediatamente il CPU di luglio, di limitare temporaneamente l’accesso di rete alle istanze PeopleSoft e di implementare regole WAF che disabilitino il componente Updates Environment Management al perimetro di rete. Per gli individui collegati alle organizzazioni colpite – chiunque abbia un’università, un’assicurazione o un datore di lavoro che utilizza PeopleSoft per HR, buste paga o amministrazione studenti – il modello di rilascio scaglionato di ShinyHunters significa che i dati non ancora apparsi pubblicamente potrebbero ancora emergere sui portali di fuga nelle prossime settimane. Controllare i rapporti di credito e monitorare l’uso sospetto di ID governativi è il passo pratico a breve termine.

Tag: cybersicurezza, CVE-2026-35273, Oracle, PeopleSoft, ShinyHunters, violazione dati