ShinyHunters udnytter Oracle PeopleSoft zero-day og rammer mere end 100 organisationer

Oracle har krediteret forskere fra TrendAI Zero Day Initiative og TrendAI Research for at opdage og indrapportere sårbarheden. Den kritiske kombination af et netværksbaseret angreb, lav kompleksitet, manglende autentificering og ingen brugerinteraktion gjorde sårbarheden til et oplagt mål for masseangreb i det øjeblik, den blev kendt blandt hackere.

Sådan udfoldede angrebet sig: En tidslinje før patchen

Google-ejede Mandiant sporer ShinyHunters-gruppen som UNC6240 og har dateret deres aktive udnyttelse af sårbarheden fra den 27. maj 2026 til den 9. juni 2026.

Fordi Oracle først offentliggjorde sin sikkerhedsadvarsel og en patch den 10. juni 2026, var sårbarheden en zero-day gennem hele angrebsperioden. I dette tidsrum scannede hackerne internettet for eksponerede PeopleSoft-instanser og brugte CVE-2026-35273 til at få adgang til ubeskyttede servere.

Når adgangen var opnået, bevægede gruppen sig videre i de kompromitterede netværk. Sikkerhedsforskere hos Field Effect konstaterede, at angriberne kombinerede CVE-2026-35273 med legitimationsbaserede teknikker og sandsynligvis andre sårbarheder for at maksimere omfanget af kompromitteringen og finde de mest værdifulde data. Denne flertrins-tilgang gjorde det muligt for ShinyHunters at eksfiltrere langt mere data, end et hurtigt "smash-and-grab" kunne have resulteret i.

Efter datatyveriet fulgte gruppen sin velkendte strategi: De krævede penge af ofrene og truede med at offentliggøre de stjålne oplysninger, hvis kravet ikke blev mødt. Denne afpresningsmodel, fremfor at bruge ransomware, er et karakteristisk træk ved ShinyHunters' operationer.

Hvilke data blev stjålet?

De stjålne data varierede fra offer til offer, men der er flere kategorier, der gik igen på tværs af de kompromitterede systemer:

• Personfølsomme oplysninger (PII) om studerende, fakultetsansatte og personale.
• Akademiske optegnelser, indskrivningsdata og oplysninger om økonomisk støtte, hvilket afspejler, at uddannelsessektoren blev hårdest ramt.
• HR- og løndata fra virksomheders PeopleSoft-installationer, inklusive oplysninger om personalegoder og løn.
• Interne systemkonfigurationsfiler og legitimationsoplysninger, som angriberne brugte til at bevæge sig rundt i netværkene.

Mængden af stjålne data afspejler PeopleSofts rolle som et centralt ERP-system, der samler følsomme oplysninger på tværs af HR, økonomi og campusdrift. Ét enkelt kompromitteret system kan afsløre årtiers personlige og institutionelle data.

Oracle reagerer uden for den faste cyklus

Den 10. juni 2026 brød Oracle med deres faste kvartalsvise patch-cyklus og udgav en sikkerhedsadvarsel uden for planen for CVE-2026-35273. Virksomheden frigav patches til PeopleTools 8.61 og 8.62 samme dag – en usædvanligt haster, der understregede den aktive og udbredte udnyttelse.

Oracles advarsel var direkte: "Denne sårbarhed kan udnyttes eksternt uden autentificering. Hvis den udnyttes med succes, kan sårbarheden resultere i fjernudførelse af kode." De anbefalede alle kunder at installere patchen som en "højt prioriteret risikoreducerende handling" .

CISA slår alarm

To dage efter Oracles advarsel, den 12. juni 2026, føjede det amerikanske cybersikkerhedsagentur CISA (Cybersecurity and Infrastructure Security Agency) CVE-2026-35273 til sin Known Exploited Vulnerabilities (KEV)-katalog. Denne tilføjelse udløste en bindende deadline for patching hos føderale amerikanske myndigheder og var et stærkt signal til alle organisationer, offentlige som private, om at fejlen var under aktivt angreb.

Det canadiske Center for Cybersikkerhed (Canadian Centre for Cyber Security) udsendte også et varsel (AV26-587) den 11. juni, som advarede mod den aktive udnyttelse og opfordrede it-administratorer til straks at følge Oracles vejledning. Den koordinerede statslige reaktion afspejlede hændelsens alvor og omfang.

Akutte sikkerhedsforanstaltninger

Baseret på vejledning fra Oracle, CISA, Rapid7 og andre sikkerhedseksperter bør organisationer, der kører PeopleSoft, straks tage disse skridt:

1. Installer Oracles nødpatch på PeopleTools 8.61 og 8.62 omgående.
2. Tjek for ikke-understøttede versioner. Hvis I kører en version, der ikke er dækket af patchen, bør I planlægge en hasteopgradering til en supporteret udgave.
3. Udfør en forensisk gennemgang af PeopleSoft-applikations- og databaseservere for tegn på web shells, uautoriserede scripts eller værktøjer til at stjæle legitimationsoplysninger.
4. Rotér alle adgangskoder og nøgler, der er gemt i eller tilgængelige fra PeopleSoft-miljøet, inklusive servicekonti og databaseforbindelsesstrenge.
5. Begræns netværksadgang til PeopleSofts HTTP/HTTPS-grænseflader (port 80 og 443) fra internettet, hvis muligt, eller placer dem bag en VPN-forbindelse.
6. Overvåg for unormal udgående dataoverførsel fra PeopleSoft-servere. Store dataoverførsler til ukendte, eksterne IP-adresser er en stærk indikator for datatyveri.

Indikatorer for kompromittering (IoC'er)

Listen over offentliggjorte IoC'er udvikler sig stadig i takt med, at efterforskningen skrider frem. Dog er der allerede identificeret flere typer af indikatorer:

• Uautoriserede HTTP-forespørgsler rettet mod "Updates Environment Management"-endepunktet i PeopleTools.
• Web shells eller uventede script-filer, der dukker op på PeopleSoft-applikationsservere.
• Unormale godkendelseshændelser fra ukendte IP-adresser eller servicekonti, der sjældent logger ind.
• Omfattende udgående dataoverførsel fra PeopleSoft-databaseservere til eksterne destinationer.
• Nyoprettede servicekonti eller planlagte opgaver på kompromitterede servere.

Specifikke IP-adresser kontrolleret af angriberne er også frigivet – eksempelvis rapporterede Pathlock forbindelser fra 142.11.200.186–190, 108.174.202.99, og 176.120.22.24 – samt navnet på en løsesums-fil, README-IF-..., som organisationer bør tjekke for i deres PeopleSoft-logs .

ShinyHunters og uddannelsessektoren: Et velkendt mønster

Oracle PeopleSoft-kampagnen er på ingen måde en enlig svale for ShinyHunters. Gruppen har en veldokumenteret præference for mål inden for uddannelse, drevet af flere strategiske faktorer:

• Rige, samlede datasæt. Universiteter og handelsskoler driver massive PeopleSoft-installationer, der samler årtiers personlige, akademiske og økonomiske oplysninger om hundredtusindvis af individer.
• Langsomme opdateringscyklusser. Videregående uddannelsesinstitutioner kører ofte stærkt tilpassede PeopleSoft-miljøer med uregelmæssige og forsinkede opdateringer, hvilket gør dem til lette mål for enhver sårbarhed, der bliver bevidst udnyttet.
• Afpresning, ikke ransomware. ShinyHunters fokuserer på datatyveri og afpresning, en model der giver et højt afkast, når de stjålne data er tilstrækkeligt følsomme til at sikre en udbetaling.
• Massescanning efter muligheder. Gruppen scanner bredt på tværs af hele sektorer, snarere end at udvælge enkelte højt kvalificerede mål. Denne teknik maksimerer deres aftryk, når en kritisk sårbarhed som CVE-2026-35273 dukker op.

Kampagnen i juni 2026 følger i kølvandet på tidligere ShinyHunters-angreb på universiteter og edtech-platforme, hvor gruppen stjal millioner af registre og solgte dem på fora på det mørke internet. Kombinationen af en zero-day RCE-fejl i PeopleTools og en offersektor med vedvarende sikkerhedshuller viste sig at være ødelæggende effektiv.

For organisationer, der stadig vurderer deres eksponering, er den absolut højeste prioritet at patche. Ud over det er denne hændelse en skarp påmindelse om, at store ERP-platforme kræver det samme lagdelte forsvar, den samme overvågning og den samme evne til hurtig reaktion som enhver anden internetvendt, kritisk service.