ShinyHunters käytti Oracle PeopleSoftin nollapäivähaavoittuvuutta – yli 100 organisaatiota murrettu

Kesäkuun alussa 2026 ShinyHunters-nimellä tunnettu kyberrikollisryhmä toteutti yhden vuoden tuhoisimmista nollapäiväkampanjoista. He hyödynsivät kriittistä haavoittuvuutta Oracle PeopleSoft -toiminnanohjausjärjestelmässä ja murtautuivat yli sataan organisaatioon maailmanlaajuisesti . Isku osui yliopistoihin ja suuryrityksiin ennen kuin virallista korjausta oli edes olemassa. Tapaus paljastaa karulla tavalla, miten nopeasti kiristykseen keskittyvät hyökkääjät pystyvät aseistamaan julkistamattomia haavoittuvuuksia suuria toiminnanohjausjärjestelmiä vastaan.

Kampanjan ytimessä on haavoittuvuus CVE-2026-35273, jonka CVSS v3.1 -vakavuuspisteytys on 9,8. Se mahdollistaa etähallinnan ilman tunnistautumista ja ilman käyttäjän toimia . Tässä artikkelissa pureudumme haavoittuvuuden teknisiin yksityiskohtiin, hyökkäyksen aikajanaan, varastettuihin tietoihin, Oraclen ja CISA:n vastatoimiin sekä käytännön toimiin, joihin puolustajien on nyt ryhdyttävä.

Haavoittuvuus: Mikä CVE-2026-35273 on?

CVE-2026-35273 sijaitsee Oracle PeopleSoft Enterprise PeopleToolsin Updates Environment Management -komponentissa, ja se koskee versioita 8.61 ja 8.62 . Virhe on palvelinpuolen pyyntöväärennös (CWE-918), jonka voi käynnistää HTTP:n yli ilman tunnistautumista . Onnistunut hyödyntäminen voi johtaa koko PeopleSoft-palvelimen haltuunottoon, jolloin hyökkääjä saa täyden hallinnan järjestelmän luottamuksellisuuteen, eheyteen ja saatavuuteen .

Oracle kiittää tiedotteessaan TrendAI Zero Day Initiativen ja TrendAI Researchin tutkijoita haavoittuvuuden raportoinnista . Verkon kautta tapahtuva hyökkäysvektori, alhainen monimutkaisuus, tunnistautumisen puute ja se, ettei käyttäjältä vaadita toimia, tekivät haavoittuvuudesta erityisen houkuttelevan kohteen massahyväksikäytölle heti, kun se tuli hyökkääjien tietoon.

Miten hyökkäys eteni ennen korjaustiedostoa

Googlen Mandiant-yksikkö yhdisti kampanjan seuraamaansa UNC6240-ryhmään, joka tunnetaan julkisesti nimellä ShinyHunters. Mandiant ajoitti aktiivisen hyväksikäytön 27.5. – 9.6.2026 väliselle ajalle .

Koska Oracle julkaisi tietoturvatiedotteensa ja korjaustiedostonsa vasta 10.6.2026, haavoittuvuus säilyi nollapäivänä koko aktiivisen hyväksikäytön ajan . Tänä aikana hyökkääjät skannasivat internetistä julkisesti näkyviä PeopleSoft-instansseja ja käyttivät CVE-2026-35273:a päästäkseen sisään päivittämättömiin palvelimiin.

Päästyään sisään ryhmä eteni sivusuunnassa vaarantuneissa ympäristöissä. Field Effect -yhtiön tietoturvatutkijat havaitsivat, että hyökkääjät yhdistivät CVE-2026-35273:n tunnuksiin perustuviin tekniikoihin ja mahdollisesti muihin haavoittuvuuksiin maksimoidakseen hyökkäyksen laajuuden ja löytääkseen arvokkaimmat tietovarastot . Tämän monivaiheisen lähestymistavan ansiosta ShinyHunters pystyi varastamaan paljon enemmän tietoa kuin yksinkertainen "ryöstö ja pako" olisi tuottanut.

Tietomurtojen jälkeen ryhmä toimi vakiintuneen kaavansa mukaan: se vaati uhreilta lunnaita ja uhkasi julkaista varastetut tiedot, mikäli vaatimuksiin ei suostuttu . Tämä kiristyskeskeinen taktiikka kiristyshaittaohjelmien levittämisen sijaan on ShinyHuntersille tyypillinen toimintatapa.

Mitä tietoja varastettiin

Varastetut tiedot vaihtelivat uhriorganisaatioittain, mutta useita arvokkaita tietoluokkia toistui läpi murrettujen kohteiden:

• Opiskelijoiden, henkilökunnan ja opettajien henkilötiedot .
• Opintosuoritusotteet, ilmoittautumistiedot ja taloudellisen tuen tiedot, mikä heijastaa uhrien vahvaa keskittymistä koulutussektorille .
• Henkilöstöhallinnon ja palkanlaskennan tiedot yritys-PeopleSoft-käytöistä, mukaan lukien etuudet ja palkkatiedot .
• Sisäiset järjestelmän konfigurointitiedostot ja tunnukset, joita hyökkääjät käyttivät edetäkseen vaarantuneissa ympäristöissä .

Varastettujen tietojen laajuus kuvastaa PeopleSoftin roolia keskitettynä ERP-järjestelmänä (toiminnanohjausjärjestelmä), joka niputtaa yhteen arkaluontoisia tietueita henkilöstöhallinnosta, taloushallinnosta ja kampuksen toiminnoista . Yksi ainoa tietomurto voi paljastaa vuosien henkilökohtaiset ja institutionaaliset tiedot.

Oraclen poikkeuksellinen vastaus

Oracle poikkesi 10.6.2026 säännöllisestä neljännesvuosittaisesta päivityssyklistään ja julkaisi ylimääräisen tietoturvahälytyksen CVE-2026-35273:een liittyen . Yhtiö julkaisi korjaustiedostot PeopleTools 8.61:een ja 8.62:een samana päivänä – epätavallisen nopea toimenpide, joka korosti aktiivisen ja laajalle levinneen hyväksikäytön vakavuutta .

Oraclen tiedote oli suorasukainen: "Tämä haavoittuvuus on hyväksikäytettävissä etänä ilman tunnistautumista. Onnistunut hyväksikäyttö voi johtaa etähallintaan" . Yhtiö kehotti kaikkia asiakkaitaan asentamaan korjaustiedoston "korkean prioriteetin riskinvähennystoimenpiteenä" .

CISA nosti hälytystasoa

Kaksi päivää Oraclen tiedotteen jälkeen, 12.6.2026, Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto CISA lisäsi CVE-2026-35273:n tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloonsa (KEV) . Tämä lisäys laukaisi pakolliset päivitysmääräajat Yhdysvaltain liittovaltion virastoille ja toimi vahvana signaalina kaikille organisaatioille, niin julkisille kuin yksityisille, haavoittuvuuden aktiivisesta ja laajamittaisesta hyväksikäytöstä.

Myös Kanadan kyberturvallisuuskeskus antoi 11. kesäkuuta neuvonnan AV26-587, jossa varoitettiin aktiivisesta hyväksikäytöstä ja ohjattiin pääkäyttäjiä heti Oraclen ohjeistuksen pariin . Koordinoitu viranomaisvaste heijasti tapauksen vakavuutta ja laajuutta.

Välittömät suojatoimet

Oraclen, CISA:n, Rapid7:n ja muiden tietoturvatoimittajien ohjeistuksiin perustuen PeopleSoftia käyttävien organisaatioiden tulisi viipymättä toteuttaa seuraavat toimet:

1. Asenna Oraclen ylimääräinen korjaustiedosto välittömästi PeopleTools-versioihin 8.61 ja 8.62 .
2. Tarkista, käytätkö versioita, joita ei enää tueta. Jos käytät versiota, joka ei kuulu korjauksen piiriin, suunnittele hätäpäivitys tuettuun versioon ennen korjausta.
3. Suorita tekninen tutkinta PeopleSoft-sovellus- ja tietokantapalvelimilla web shellien (komentotulkkien), luvattomien skriptien tai tunnustenkalastelutyökalujen varalta .
4. Vaihda kaikki tunnukset, jotka on tallennettu PeopleSoft-ympäristöihin tai ovat niiden käytettävissä, mukaan lukien palvelutilit ja tietokantayhteyksien merkkijonot .
5. Rajoita verkkoyhteyksiä PeopleSoftin HTTP/HTTPS-rajapintoihin (portit 80 ja 443) internetistä mahdollisuuksien mukaan, tai aseta ne VPN-yhteyden taakse .
6. Valvo PeopleSoft-palvelimilta lähteviä epänormaaleja tiedonsiirtoja – suuret siirrot tuntemattomiin ulkoisiin IP-osoitteisiin ovat vahva merkki tietovuodosta .

Mahdollisia kompromissin merkkejä (IoC)

Julkaistut IoC-tiedot tarkentuvat edelleen tutkimusten edetessä. Alustavien raporttien perusteella on kuitenkin noussut esiin seuraavanlaisia indikaattoreita:

• Luvattomat HTTP-pyynnöt, jotka kohdistuvat PeopleToolsin Updates Environment Management -päätepisteeseen .
• Web shellit tai odottamattomat skriptitiedostot PeopleSoft-sovelluspalvelimilla .
• Epätavalliset tunnistautumistapahtumat tuntemattomista IP-osoitteista tai palvelutileiltä, joita käytetään harvoin .
• Suuret lähtevät tiedonsiirrot PeopleSoft-tietokantapalvelimilta ulkoisiin kohteisiin .
• Uudet luodut palvelutilit tai ajoitetut tehtävät vaarantuneilla palvelimilla .

Myös hyökkääjien hallinnoimia IP-osoitteita on julkaistu – esimerkiksi Pathlock raportoi yhteyksistä osoitteista 142.11.200.186–190, 108.174.202.99 ja 176.120.22.24 – sekä kiristystiedostosta nimeltä README-IF-..., jota organisaatioiden tulisi etsiä PeopleSoft-lokeistaan .

ShinyHunters ja koulutussektori: toistuva kaava

Oracle PeopleSoft -kampanja ei ole poikkeus ShinyHuntersille. Ryhmällä on hyvin dokumentoitu mieltymys koulutussektorin kohteisiin useista strategisista syistä:

• Rikkaat, aggregoidut tietoaineistot. Yliopistoilla ja korkeakouluilla on massiivisia PeopleSoft-asennuksia, jotka niputtavat yhteen vuosikymmenten henkilö-, opinto- ja taloustiedot sadoilta tuhansilta henkilöiltä .
• Hitaat päivityssyklit. Korkeakoulut käyttävät usein vahvasti räätälöityjä PeopleSoft-ympäristöjä, joiden päivitystahti on epäsäännöllinen ja viivästynyt. Tämä tekee niistä helppoja kohteita mille tahansa aseistetulle haavoittuvuudelle .
• Kiristys, ei kiristyshaittaohjelma. ShinyHunters keskittyy tietovarkauksiin ja kiristykseen kiristyshaittaohjelmien levittämisen sijaan. Tämä malli tuottaa hyvin, kun varastettu tieto on tarpeeksi arkaluontoista kiristysmaksun perimiseksi .
• Massamainen, opportunistinen skannaus. Ryhmä skannaa laajasti kokonaisia sektoreita yksittäisten arvokohteiden sijaan. Tämä tekniikka maksimoi heidän jalanjälkensä aina, kun kriittinen haavoittuvuus, kuten CVE-2026-35273, paljastuu .

Kesäkuun 2026 kampanja seuraa aiempia ShinyHuntersin hyökkäyksiä yliopistoihin ja koulutusteknologia-alustoille, joissa ryhmä varasti miljoonia tietueita ja myi niitä pimeän verkon foorumeilla. Nollapäivän etähallintahaavoittuvuuden yhdistelmä PeopleToolsissa ja uhrikunta, jolla on jatkuvia tietoturva-aukkoja, osoittautui tuhoisan tehokkaaksi.

Organisaatioille, jotka edelleen arvioivat altistumistaan, välitön prioriteetti on korjaustiedoston asentaminen. Sitä laajemmin tapaus muistuttaa, että laajamittaiset ERP-alustat tarvitsevat saman kerroksellisen puolustuksen, valvonnan ja nopean reagointikyvyn kuin mikä tahansa internetiin näkyvä kriittinen palvelu.