Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca. 68 % af ofrene var i den videregående uddannelsessektor; University of Nottingham var det første bekræftede offer, med op til 500.0...
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca.
68 % af ofrene var i den videregående uddannelsessektor; University of Nottingham var det første bekræftede offer, med op til 500.000 studerendes personoplysninger stjålet.
Midlertidige afværgeforanstaltninger omfatter deaktivering eller fjernelse af PSEMHUB applikationen, blokering af ekstern adgang til specifikke endpoints og gennemgang af logs for tegn på kompromittering.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
I en koordineret offentliggørelse har Googles Mandiant og Threat Intelligence Group (GTIG) bekræftet en to uger lang angrebskampagne udført af den økonomisk motiverede afpresningsgruppe ShinyHunters (sporet som UNC6240). Gruppen udnyttede en kritisk zero-day-sårbarhed i Oracle PeopleSoft. Sårbarheden gjorde det muligt for angribere at udføre fjernkodeeksekvering på sårbare servere uden nogen form for autentificering, hvilket førte til datatyveri, primært fra uddannelsesinstitutioner. Aktiviteten fandt sted, før Oracle udgav sin sikkerhedsadvarsel, hvilket efterlod organisationer uden en officiel opdatering i det aktive angrebsvindue.
Zero-day-sårbarheden: CVE-2026-35273
Sårbarheden, der har fået betegnelsen CVE-2026-35273, findes i Environment Management-komponenten i Oracle PeopleSoft PeopleTools og har en maksimal CVSS-score på 9,8 . Den muliggør uautentificeret fjernkodeeksekvering (RCE) over HTTP/HTTPS, hvilket betyder, at en angriber ikke har brug for loginoplysninger eller brugerinteraktion – kun netværksadgang til den målrettede server .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters udnytter Oracle PeopleSoft zero-day: Over 100 organisationer ramt – Uddannelsessektoren hårdest ramt"?
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca.
What are the key points to validate first?
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca. 68 % af ofrene var i den videregående uddannelsessektor; University of Nottingham var det første bekræftede offer, med op til 500.000 studerendes personoplysninger stjålet.
What should I do next in practice?
Midlertidige afværgeforanstaltninger omfatter deaktivering eller fjernelse af PSEMHUB applikationen, blokering af ekstern adgang til specifikke endpoints og gennemgang af logs for tegn på kompromittering.
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca. 68 % af ofrene var i den videregående uddannelsessektor; University of Nottingham var det første bekræftede offer, med op til 500.0...
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca.
68 % af ofrene var i den videregående uddannelsessektor; University of Nottingham var det første bekræftede offer, med op til 500.000 studerendes personoplysninger stjålet.
Midlertidige afværgeforanstaltninger omfatter deaktivering eller fjernelse af PSEMHUB applikationen, blokering af ekstern adgang til specifikke endpoints og gennemgang af logs for tegn på kompromittering.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
I en koordineret offentliggørelse har Googles Mandiant og Threat Intelligence Group (GTIG) bekræftet en to uger lang angrebskampagne udført af den økonomisk motiverede afpresningsgruppe ShinyHunters (sporet som UNC6240). Gruppen udnyttede en kritisk zero-day-sårbarhed i Oracle PeopleSoft. Sårbarheden gjorde det muligt for angribere at udføre fjernkodeeksekvering på sårbare servere uden nogen form for autentificering, hvilket førte til datatyveri, primært fra uddannelsesinstitutioner. Aktiviteten fandt sted, før Oracle udgav sin sikkerhedsadvarsel, hvilket efterlod organisationer uden en officiel opdatering i det aktive angrebsvindue.
Zero-day-sårbarheden: CVE-2026-35273
Sårbarheden, der har fået betegnelsen CVE-2026-35273, findes i Environment Management-komponenten i Oracle PeopleSoft PeopleTools og har en maksimal CVSS-score på 9,8 . Den muliggør uautentificeret fjernkodeeksekvering (RCE) over HTTP/HTTPS, hvilket betyder, at en angriber ikke har brug for loginoplysninger eller brugerinteraktion – kun netværksadgang til den målrettede server .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters udnytter Oracle PeopleSoft zero-day: Over 100 organisationer ramt – Uddannelsessektoren hårdest ramt"?
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca.
What are the key points to validate first?
Googles Threat Intelligence Group bekræfter, at ShinyHunters (UNC6240) har udnyttet en kritisk zero day sårbarhed (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft til at kompromittere ca. 68 % af ofrene var i den videregående uddannelsessektor; University of Nottingham var det første bekræftede offer, med op til 500.000 studerendes personoplysninger stjålet.
What should I do next in practice?
Midlertidige afværgeforanstaltninger omfatter deaktivering eller fjernelse af PSEMHUB applikationen, blokering af ekstern adgang til specifikke endpoints og gennemgang af logs for tegn på kompromittering.
Det specifikke angrebsvektor var rettet mod Environment Management Hub (PSEMHUB)-endpoints. Google observerede ondsindede POST-anmodninger til stier som /PSEMHUB/hub og /PSIGW/HttpListeningConnector. Sårbarheden påvirker PeopleTools version 8.61 og 8.62 . Kritisk set fandt kampagnen sted mellem 27. maj og 9. juni 2026, hvilket er før Oracles sikkerhedsadvarsel den 10. juni, hvilket bekræfter, at fejlen blev udnyttet i det fri som en uopdateret zero-day .
ShinyHunters-kampagnen: Omfang og mål
Googles efterforskning afslørede en bred og fokuseret operation. ShinyHunters kompromitterede cirka 300 forskellige PeopleSoft-instanser fordelt på over 100 organisationer globalt . GTIG tog det proaktive skridt at underrette over 100 af disse eksponerede organisationer i løbet af det aktive angrebsvindue .
Kampagnen viste et tydeligt mønster i måludvælgelsen. 68 % af de kendte ofre var enheder inden for den videregående uddannelsessektor, primært universiteter og højskoler, hvoraf flertallet var baseret i USA .
For at opretholde vedvarende adgang og kontrol implementerede angriberne MeshCentral-fjernstyringsagenter, men forklædte filnavnene som legitime Microsoft Azure-tjenester ved at bruge navne som meshagent64-azure-ops.exe. Kommando-og-kontrol-infrastrukturen efterlignede yderligere Azure ved at bruge domænet azurenetfiles.net. De stjålne data blev efterfølgende offentliggjort på ShinyHunters datalækageside den 9. juni 2026 .
University of Nottingham: Et casestudie i konsekvenser
University of Nottingham blev det første offentligt bekræftede offer og giver et tydeligt billede af bruddet. Universitetet bekræftede et cyberangreb mod sit studenterregistreringssystem og oplyste, at en betydelig datamængde, i alt snesevis af gigabyte, var blevet tilgået .
Rapporter fra flere kilder indikerer, at mellem 454.600 og 500.000 person- og studieoplysninger tilhørende nuværende og tidligere studerende blev stjålet . De kompromitterede data bestod primært af studerendes og alumni-oplysninger, men universitetet bemærkede, at medarbejderes bankoplysninger og forskningsdata ikke var en del af bruddet . De stjålne data, som blandt andet omfattede hjemmeadresser, telefonnumre og fødselsdatoer, blev hurtigt offentliggjort på ShinyHunters' lækageside og indekseret af tjenesten "Have I Been Pwned" .
Midlertidige afværgeforanstaltninger uden en egentlig opdatering
Selvom Oracle udsendte en sikkerhedsadvarsel den 10. juni 2026, bestod den indledende vejledning af midlertidige løsninger frem for en komplet softwareopdatering. Googles trusselsintelligensblog anbefaler, i overensstemmelse med Oracles vejledning, at organisationer tager følgende øjeblikkelige skridt for at beskytte sårbare PeopleSoft-instanser :
Deaktiver eller fjern EMHub-tjenesten: I multi-serverkonfigurationer bør organisationer deaktivere Environment Management Hub Service. For enkelt-serverinstallationer anbefales det at fjerne PSEMHUB-applikationen helt .
Bloker ekstern adgang ved netværksperimeteren: Begræns adgangen til de udnyttede endpoints, specifikt /PSEMHUB/* og /PSIGW/HttpListeningConnector, ved hjælp af netværksfirewalls eller adgangskontrollister .
Gennemgå adgangslogs: Sikkerhedsteams bør straks kontrollere PIA WebLogic-adgangslogs for POST-anmodninger til /PSEMHUB/hub og /PSIGW/HttpListeningConnector fra eksterne IP-adresser for at identificere historisk kompromittering .
Søg efter web shells: Undersøg PeopleSoft-filsystemet for uventede .jsp-filer, som en angriber kan have placeret, især under stien /webserv/applications/peoplesoft/PSEMHUB.war/.
Overvåg for indikatorer på kompromittering (IOC'er): Overvåg for tilstedeværelsen af mistænkelige mapper med navne som logs, persistantstorage eller scratchpad i PSEMHUB-stier. Undersøg desuden al udgående SMB-trafik fra PeopleSoft-servere, da dette kan indikere dataeksfiltrering .
Disse trin er kritiske midlertidige foranstaltninger. Organisationer, der kører PeopleTools version 8.61 og 8.62, bør prioritere at installere Oracles officielle sikkerhedsopdatering, når den bliver tilgængelig, for at eliminere risikoen for yderligere udnyttelse .
Det specifikke angrebsvektor var rettet mod Environment Management Hub (PSEMHUB)-endpoints. Google observerede ondsindede POST-anmodninger til stier som /PSEMHUB/hub og /PSIGW/HttpListeningConnector. Sårbarheden påvirker PeopleTools version 8.61 og 8.62 . Kritisk set fandt kampagnen sted mellem 27. maj og 9. juni 2026, hvilket er før Oracles sikkerhedsadvarsel den 10. juni, hvilket bekræfter, at fejlen blev udnyttet i det fri som en uopdateret zero-day .
ShinyHunters-kampagnen: Omfang og mål
Googles efterforskning afslørede en bred og fokuseret operation. ShinyHunters kompromitterede cirka 300 forskellige PeopleSoft-instanser fordelt på over 100 organisationer globalt . GTIG tog det proaktive skridt at underrette over 100 af disse eksponerede organisationer i løbet af det aktive angrebsvindue .
Kampagnen viste et tydeligt mønster i måludvælgelsen. 68 % af de kendte ofre var enheder inden for den videregående uddannelsessektor, primært universiteter og højskoler, hvoraf flertallet var baseret i USA .
For at opretholde vedvarende adgang og kontrol implementerede angriberne MeshCentral-fjernstyringsagenter, men forklædte filnavnene som legitime Microsoft Azure-tjenester ved at bruge navne som meshagent64-azure-ops.exe. Kommando-og-kontrol-infrastrukturen efterlignede yderligere Azure ved at bruge domænet azurenetfiles.net. De stjålne data blev efterfølgende offentliggjort på ShinyHunters datalækageside den 9. juni 2026 .
University of Nottingham: Et casestudie i konsekvenser
University of Nottingham blev det første offentligt bekræftede offer og giver et tydeligt billede af bruddet. Universitetet bekræftede et cyberangreb mod sit studenterregistreringssystem og oplyste, at en betydelig datamængde, i alt snesevis af gigabyte, var blevet tilgået .
Rapporter fra flere kilder indikerer, at mellem 454.600 og 500.000 person- og studieoplysninger tilhørende nuværende og tidligere studerende blev stjålet . De kompromitterede data bestod primært af studerendes og alumni-oplysninger, men universitetet bemærkede, at medarbejderes bankoplysninger og forskningsdata ikke var en del af bruddet . De stjålne data, som blandt andet omfattede hjemmeadresser, telefonnumre og fødselsdatoer, blev hurtigt offentliggjort på ShinyHunters' lækageside og indekseret af tjenesten "Have I Been Pwned" .
Midlertidige afværgeforanstaltninger uden en egentlig opdatering
Selvom Oracle udsendte en sikkerhedsadvarsel den 10. juni 2026, bestod den indledende vejledning af midlertidige løsninger frem for en komplet softwareopdatering. Googles trusselsintelligensblog anbefaler, i overensstemmelse med Oracles vejledning, at organisationer tager følgende øjeblikkelige skridt for at beskytte sårbare PeopleSoft-instanser :
Deaktiver eller fjern EMHub-tjenesten: I multi-serverkonfigurationer bør organisationer deaktivere Environment Management Hub Service. For enkelt-serverinstallationer anbefales det at fjerne PSEMHUB-applikationen helt .
Bloker ekstern adgang ved netværksperimeteren: Begræns adgangen til de udnyttede endpoints, specifikt /PSEMHUB/* og /PSIGW/HttpListeningConnector, ved hjælp af netværksfirewalls eller adgangskontrollister .
Gennemgå adgangslogs: Sikkerhedsteams bør straks kontrollere PIA WebLogic-adgangslogs for POST-anmodninger til /PSEMHUB/hub og /PSIGW/HttpListeningConnector fra eksterne IP-adresser for at identificere historisk kompromittering .
Søg efter web shells: Undersøg PeopleSoft-filsystemet for uventede .jsp-filer, som en angriber kan have placeret, især under stien /webserv/applications/peoplesoft/PSEMHUB.war/.
Overvåg for indikatorer på kompromittering (IOC'er): Overvåg for tilstedeværelsen af mistænkelige mapper med navne som logs, persistantstorage eller scratchpad i PSEMHUB-stier. Undersøg desuden al udgående SMB-trafik fra PeopleSoft-servere, da dette kan indikere dataeksfiltrering .
Disse trin er kritiske midlertidige foranstaltninger. Organisationer, der kører PeopleTools version 8.61 og 8.62, bør prioritere at installere Oracles officielle sikkerhedsopdatering, når den bliver tilgængelig, for at eliminere risikoen for yderligere udnyttelse .
tech.yahoo.comGoogle says ShinyHunters hackers targeting education sector via Oracle exploit
bleepingcomputer.comOracle mitigates PeopleSoft zero-day exploited in data theft attacks
rescana.comOracle PeopleSoft PeopleTools Zero-Day (CVE-2026-35273 ...
cloud.google.comShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit