ShinyHunters hyökkäsi Oracle PeopleSoft -haavoittuvuuden kautta – yli 100 organisaatiota joutui tietomurron kohteeksi
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin... 68 prosenttia uhreista oli korkeakouluja – Nottinghamin yliopisto joutui ensimmäiseksi julkiseksi...
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin...
68 prosenttia uhreista oli korkeakouluja – Nottinghamin yliopisto joutui ensimmäiseksi julkiseksi kohteeksi, ja jopa 500 000 opiskelijan tietueita varastettiin.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
Googlen Mandiant- ja uhkatiedusteluryhmä (GTIG) on koordinoidussa tiedotteessa vahvistanut, että taloudellisesti motivoitunut kiristysryhmä ShinyHunters (seurannassa nimellä UNC6240) käytti kriittistä nollapäivähaavoittuvuutta Oracle PeopleSoft -järjestelmässä. Haavoittuvuus mahdollisti hyökkääjille etäohjelmistokoodin suorittamisen haavoittuvissa palvelimissa ilman kirjautumista. Hyökkäykset kohdistuivat pääasiassa oppilaitoksiin, ja tietoja varastettiin laajasti. Toiminta tapahtui ennen kuin Oracle julkaisi oman hälytyksensä, joten organisaatioilla ei ollut virallista korjausta aktiivisen hyökkäysikkunan aikana.
Nollapäivähaavoittuvuus: CVE-2026-35273
Haavoittuvuus, joka on nimetty CVE-2026-35273, sijaitsee Oracle PeopleSoft PeopleToolsin ympäristönhallintakomponentissa ja sillä on maksimaalinen CVSS-vaikeusaste 9,8 . Se mahdollistaa todennuksettoman etäkoodin suorituksen (RCE) HTTP/HTTPS-yhteydellä, mikä tarkoittaa, että hyökkääjä tarvitsee vain verkkoyhteyden kohdepalvelimeen .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters hyökkäsi Oracle PeopleSoft -haavoittuvuuden kautta – yli 100 organisaatiota joutui tietomurron kohteeksi"?
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin...
What are the key points to validate first?
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin... 68 prosenttia uhreista oli korkeakouluja – Nottinghamin yliopisto joutui ensimmäiseksi julkiseksi kohteeksi, ja jopa 500 000 opiskelijan tietueita varastettiin.
ShinyHunters hyökkäsi Oracle PeopleSoft -haavoittuvuuden kautta – yli 100 organisaatiota joutui tietomurron kohteeksi
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin... 68 prosenttia uhreista oli korkeakouluja – Nottinghamin yliopisto joutui ensimmäiseksi julkiseksi...
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin...
68 prosenttia uhreista oli korkeakouluja – Nottinghamin yliopisto joutui ensimmäiseksi julkiseksi kohteeksi, ja jopa 500 000 opiskelijan tietueita varastettiin.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
Googlen Mandiant- ja uhkatiedusteluryhmä (GTIG) on koordinoidussa tiedotteessa vahvistanut, että taloudellisesti motivoitunut kiristysryhmä ShinyHunters (seurannassa nimellä UNC6240) käytti kriittistä nollapäivähaavoittuvuutta Oracle PeopleSoft -järjestelmässä. Haavoittuvuus mahdollisti hyökkääjille etäohjelmistokoodin suorittamisen haavoittuvissa palvelimissa ilman kirjautumista. Hyökkäykset kohdistuivat pääasiassa oppilaitoksiin, ja tietoja varastettiin laajasti. Toiminta tapahtui ennen kuin Oracle julkaisi oman hälytyksensä, joten organisaatioilla ei ollut virallista korjausta aktiivisen hyökkäysikkunan aikana.
Nollapäivähaavoittuvuus: CVE-2026-35273
Haavoittuvuus, joka on nimetty CVE-2026-35273, sijaitsee Oracle PeopleSoft PeopleToolsin ympäristönhallintakomponentissa ja sillä on maksimaalinen CVSS-vaikeusaste 9,8 . Se mahdollistaa todennuksettoman etäkoodin suorituksen (RCE) HTTP/HTTPS-yhteydellä, mikä tarkoittaa, että hyökkääjä tarvitsee vain verkkoyhteyden kohdepalvelimeen .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters hyökkäsi Oracle PeopleSoft -haavoittuvuuden kautta – yli 100 organisaatiota joutui tietomurron kohteeksi"?
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin...
What are the key points to validate first?
Googlen Mandiant ja uhkatiedusteluryhmä vahvisti, että kiristysryhmä ShinyHunters (UNC6240) käytti kriittistä nollapäivähaavoittuvuutta (CVE 2026 35273, CVSS 9,8) Oracle PeopleSoftissa murtautuen noin 300 instanssiin... 68 prosenttia uhreista oli korkeakouluja – Nottinghamin yliopisto joutui ensimmäiseksi julkiseksi kohteeksi, ja jopa 500 000 opiskelijan tietueita varastettiin.
Hyökkäys kohdistui erityisesti Environment Management Hubin (PSEMHUB) päätepisteisiin. Google havaitsi haitallisia POST-pyyntöjä, jotka kohdistuivat polkuihin kuten /PSEMHUB/hub ja /PSIGW/HttpListeningConnector. Haavoittuvuus koskee PeopleToolsin versioita 8.61 ja 8.62 . Kriittisesti kampanjan aikajana 27. toukokuuta – 9. kesäkuuta 2026 sijoittuu ennen Oraclen 10. kesäkuuta antamaa ohjeistusta, mikä vahvistaa haavoittuvuuden hyödyntämisen nollapäivähaavoittuvuutena ilman korjausta .
ShinyHunters-kampanja: laajuus ja kohteet
Googlen tutkimus paljasti laajan ja kohdistetun operaation. ShinyHunters vaaransi noin 300 erillistä PeopleSoft-instanssia, jotka jakautuivat yli 100 organisaatioon maailmanlaajuisesti . GTIG otti ennakoivan askeleen ja ilmoitti yli 100 vaarantuneelle organisaatiolle aktiivisen hyödyntämisikkunan aikana .
Kampanjassa oli selvä kohdentumismalli: 68 prosenttia tunnetuista uhreista oli korkeakouluja, pääasiassa yliopistoja ja korkeakouluja, ja suurin osa niistä sijaitsi Yhdysvalloissa .
Pysyvyyden ja hallinnan ylläpitämiseksi hyökkääjät asensivat MeshCentral-etähallinta-agentteja, mutta naamioivat tiedostonimet näyttämään laillisilta Microsoft Azure -palveluilta käyttämällä nimiä kuten meshagent64-azure-ops.exe. Komento- ja hallintainfrastruktuuri matki Azurea käyttämällä verkkotunnusta azurenetfiles.net. Varastetut tiedot julkaistiin myöhemmin ShinyHuntersin tietovuotosivustolla (DLS) 9. kesäkuuta 2026 .
Nottinghamin yliopisto: esimerkki vaikutuksista
Nottinghamin yliopisto oli ensimmäinen julkisesti vahvistettu uhri, mikä tarjosi karun esimerkin tietomurron seurauksista. Yliopisto vahvisti kyberhyökkäyksen, joka kohdistui sen opiskelijatietojärjestelmään, ja vahvisti, että kymmeniä gigatavuja tietoja oli päätynyt vääriin käsiin .
Useiden lähteiden mukaan varastettujen tietueiden määrä on 454 600 – 500 000 nykyisten ja entisten opiskelijoiden henkilökohtaisia ja akateemisia tietueita . Tiedot koostuivat pääasiassa opiskelija- ja alumnitiedoista, mutta yliopisto korosti, että henkilöstön pankkitiedot tai tutkimustiedot eivät olleet osa vuotoa . Varastetut tiedot, jotka sisälsivät muun muassa kotiosoitteita, puhelinnumeroita ja syntymäaikoja, julkaistiin nopeasti ShinyHuntersin vuotosivustolla ja indeksoitiin “Have I Been Pwned” -palvelussa .
Välittömät suojatoimet ilman korjausta
Vaikka Oracle julkaisi oman hälytyksensä 10. kesäkuuta 2026, alustavat ohjeet koostuivat kiertotavoista täydellisen ohjelmistokorjauksen sijaan. Googlen uhkatiedustelublogi yhdessä Oraclen ohjeistuksen kanssa suosittelee organisaatioille seuraavia välittömiä toimia haavoittuvien PeopleSoft-instanssien suojaamiseksi :
PSEMHUB-palvelun poistaminen käytöstä tai poistaminen: Monipalvelinkokoonpanoissa organisaatioiden tulee poistaa ympäristönhallintakeskuspalvelu käytöstä. Yksipalvelinkokoonpanoissa suositellaan PSEMHUB-sovelluksen täydellistä poistamista .
Ulkoisen pääsyn estäminen: Rajoita pääsyä hyödynnettyihin päätepisteisiin, erityisesti /PSEMHUB/* ja /PSIGW/HttpListeningConnector, verkko-palomuurien tai pääsynhallintaluetteloiden avulla .
Pääsylokien auditointi: Turvatiimien tulee välittömästi tarkistaa PIA WebLogic -pääsylokit POST-pyyntöjen varalta polkuihin /PSEMHUB/hub ja /PSIGW/HttpListeningConnector, jotka ovat peräisin ulkoisista IP-osoitteista .
Web-skaalautuvuustiedostojen etsiminen: Tarkista PeopleSoft-tiedostojärjestelmä odottamattomien .jsp-tiedostojen varalta, joita hyökkääjä on saattanut asentaa, erityisesti polusta /webserv/applications/peoplesoft/PSEMHUB.war/.
Tartuntamerkkien (IOC) seuranta: Tarkkaile epäilyttäviä hakemistoja, kuten logs, persistantstorage tai scratchpad, PSEMHUB-polkujen sisällä. Lisäksi tutki kaikki PeopleSoft-palvelimista lähtevä SMB-liikenne, mikä voi viitata tietojen varastamiseen .
Nämä toimet ovat kriittisiä väliaikaisia ratkaisuja. Organisaatioiden, jotka käyttävät PeopleToolsin versioita 8.61 ja 8.62, on priorisoitava Oraclen virallisen tietoturvapäivityksen asentamista, kun se tulee saataville, jotta hyödyntämisriski saadaan täysin poistettua .
Hyökkäys kohdistui erityisesti Environment Management Hubin (PSEMHUB) päätepisteisiin. Google havaitsi haitallisia POST-pyyntöjä, jotka kohdistuivat polkuihin kuten /PSEMHUB/hub ja /PSIGW/HttpListeningConnector. Haavoittuvuus koskee PeopleToolsin versioita 8.61 ja 8.62 . Kriittisesti kampanjan aikajana 27. toukokuuta – 9. kesäkuuta 2026 sijoittuu ennen Oraclen 10. kesäkuuta antamaa ohjeistusta, mikä vahvistaa haavoittuvuuden hyödyntämisen nollapäivähaavoittuvuutena ilman korjausta .
ShinyHunters-kampanja: laajuus ja kohteet
Googlen tutkimus paljasti laajan ja kohdistetun operaation. ShinyHunters vaaransi noin 300 erillistä PeopleSoft-instanssia, jotka jakautuivat yli 100 organisaatioon maailmanlaajuisesti . GTIG otti ennakoivan askeleen ja ilmoitti yli 100 vaarantuneelle organisaatiolle aktiivisen hyödyntämisikkunan aikana .
Kampanjassa oli selvä kohdentumismalli: 68 prosenttia tunnetuista uhreista oli korkeakouluja, pääasiassa yliopistoja ja korkeakouluja, ja suurin osa niistä sijaitsi Yhdysvalloissa .
Pysyvyyden ja hallinnan ylläpitämiseksi hyökkääjät asensivat MeshCentral-etähallinta-agentteja, mutta naamioivat tiedostonimet näyttämään laillisilta Microsoft Azure -palveluilta käyttämällä nimiä kuten meshagent64-azure-ops.exe. Komento- ja hallintainfrastruktuuri matki Azurea käyttämällä verkkotunnusta azurenetfiles.net. Varastetut tiedot julkaistiin myöhemmin ShinyHuntersin tietovuotosivustolla (DLS) 9. kesäkuuta 2026 .
Nottinghamin yliopisto: esimerkki vaikutuksista
Nottinghamin yliopisto oli ensimmäinen julkisesti vahvistettu uhri, mikä tarjosi karun esimerkin tietomurron seurauksista. Yliopisto vahvisti kyberhyökkäyksen, joka kohdistui sen opiskelijatietojärjestelmään, ja vahvisti, että kymmeniä gigatavuja tietoja oli päätynyt vääriin käsiin .
Useiden lähteiden mukaan varastettujen tietueiden määrä on 454 600 – 500 000 nykyisten ja entisten opiskelijoiden henkilökohtaisia ja akateemisia tietueita . Tiedot koostuivat pääasiassa opiskelija- ja alumnitiedoista, mutta yliopisto korosti, että henkilöstön pankkitiedot tai tutkimustiedot eivät olleet osa vuotoa . Varastetut tiedot, jotka sisälsivät muun muassa kotiosoitteita, puhelinnumeroita ja syntymäaikoja, julkaistiin nopeasti ShinyHuntersin vuotosivustolla ja indeksoitiin “Have I Been Pwned” -palvelussa .
Välittömät suojatoimet ilman korjausta
Vaikka Oracle julkaisi oman hälytyksensä 10. kesäkuuta 2026, alustavat ohjeet koostuivat kiertotavoista täydellisen ohjelmistokorjauksen sijaan. Googlen uhkatiedustelublogi yhdessä Oraclen ohjeistuksen kanssa suosittelee organisaatioille seuraavia välittömiä toimia haavoittuvien PeopleSoft-instanssien suojaamiseksi :
PSEMHUB-palvelun poistaminen käytöstä tai poistaminen: Monipalvelinkokoonpanoissa organisaatioiden tulee poistaa ympäristönhallintakeskuspalvelu käytöstä. Yksipalvelinkokoonpanoissa suositellaan PSEMHUB-sovelluksen täydellistä poistamista .
Ulkoisen pääsyn estäminen: Rajoita pääsyä hyödynnettyihin päätepisteisiin, erityisesti /PSEMHUB/* ja /PSIGW/HttpListeningConnector, verkko-palomuurien tai pääsynhallintaluetteloiden avulla .
Pääsylokien auditointi: Turvatiimien tulee välittömästi tarkistaa PIA WebLogic -pääsylokit POST-pyyntöjen varalta polkuihin /PSEMHUB/hub ja /PSIGW/HttpListeningConnector, jotka ovat peräisin ulkoisista IP-osoitteista .
Web-skaalautuvuustiedostojen etsiminen: Tarkista PeopleSoft-tiedostojärjestelmä odottamattomien .jsp-tiedostojen varalta, joita hyökkääjä on saattanut asentaa, erityisesti polusta /webserv/applications/peoplesoft/PSEMHUB.war/.
Tartuntamerkkien (IOC) seuranta: Tarkkaile epäilyttäviä hakemistoja, kuten logs, persistantstorage tai scratchpad, PSEMHUB-polkujen sisällä. Lisäksi tutki kaikki PeopleSoft-palvelimista lähtevä SMB-liikenne, mikä voi viitata tietojen varastamiseen .
Nämä toimet ovat kriittisiä väliaikaisia ratkaisuja. Organisaatioiden, jotka käyttävät PeopleToolsin versioita 8.61 ja 8.62, on priorisoitava Oraclen virallisen tietoturvapäivityksen asentamista, kun se tulee saataville, jotta hyödyntämisriski saadaan täysin poistettua .
tech.yahoo.comGoogle says ShinyHunters hackers targeting education sector via Oracle exploit
bleepingcomputer.comOracle mitigates PeopleSoft zero-day exploited in data theft attacks
rescana.comOracle PeopleSoft PeopleTools Zero-Day (CVE-2026-35273 ...
cloud.google.comShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit