ShinyHunters hevder massivt Oracle PeopleSoft-angrep: 300 instanser kompromittert hos over 100 organisasjoner

Hva ble angivelig hacket?

ShinyHunters hevdet at de har brutt seg inn i Oracle PeopleSoft-servere, en mye brukt programvarepakke for forretningsadministrasjon (ERP) og personalledelse, eid av Oracle . Gruppen uttalte til både TechCrunch og BleepingComputer at de kompromitterte omtrent 300 PeopleSoft-instanser hos mer enn 100 organisasjoner ved hjelp av en kombinasjon av gamle og nye sårbarheter .

PeopleSoft brukes av mange store virksomheter for å håndtere alt fra lønn og personaldata til økonomi og studentinformasjon. Derfor regnes det som et svært sensitivt mål.

Hvilke organisasjoner ble rammet?

Listen over berørte er bred og speiler systemets utbredelse:

• Hovedvekten av ofrene er universiteter og høyskoler . Ett bekreftet offer er University of Nottingham .
• I tillegg til utdanningssektoren har kampanjen også rammet selskaper innen programvare/teknologi, finansielle tjenester, helsevesen, energi, logistikk og eiendom .
• I et større bilde, over de siste 18 månedene, har ShinyHunters' aktivitet koblet gruppen til en rekke kjente navn, som for eksempel læringsplattformen Instructure/Canvas , Charter Communications , Telus Digital , og merker som Zara, 7-Eleven, Carnival, Mytheresa, ADT, Udemy, Rockstar Games, Medtronic, Allianz Life og Ameriprise .

Hvilke data hevdes stjålet?

De angivelig stjålne dataene er svært omfattende og inkluderer:

• Personlig identifiserbar informasjon (PII) som navn, e-postadresser, telefonnumre og fysiske adresser .
• HR- og økonomidokumenter direkte fra PeopleSoft-systemene .
• Elev- og læreropplysninger fra bruddet på Instructure/Canvas, der gruppen hevdet å ha stjålet hundretalls millioner av registre .
• Autentiseringsnøkler, som siden ble brukt til å gjennomføre videre angrep mot andre sky-miljøer som Salesforce . Slike nøkler kan fungere som en digital hovednøkkel, og åpner for angrep i flere ledd.

Gruppens opprinnelige mål og FBI-benektelsen

Saken fikk en oppsiktsvekkende vri da et ShinyHunters-medlem forklarte til TechCrunch at det opprinnelige målet var å bryte seg inn i FBIs egen Oracle PeopleSoft-server .

Motivet var overraskende. FBI hadde kort tid i forveien sendt ut et varsel om en rekke farlige «swatting»-hendelser, der falske nødsituasjoner rapporteres for å få bevæpnet politi hjem til intetanende ofre. Myndighetene knyttet hendelsene delvis til aktører med bånd til ShinyHunters. Ved å ta seg inn i FBIs server, ønsket gruppen å publisere en offisiell benektelse og ta offentlig avstand fra disse «swatting»-angrepene . Dette ambisiøse angrepet mot FBI skal imidlertid ha mislyktes .

Oracles respons

Per 10. og 11. juni 2026 hadde Oracle ennå ikke kommet med en offentlig uttalelse som direkte adresserte ShinyHunters' påstander . Men samme dag, 10. juni 2026, slapp selskapet en sikkerhetsadvarsel for CVE-2026-35273 .

Dette er en sårbarhet i Oracle PeopleSoft PeopleTools med en alvorlighetsgrad (CVSS-score) på 9,8 av 10. Den gjør det mulig for en angriper å kjøre vilkårlig kode eksternt, uten noen form for autentisering. Oppdateringen adresserte nøyaktig den sikkerhetsmekanismen som ble pekt på av forskere og BleepingComputer som den sannsynlige inngangsporten for ShinyHunters' kampanje .

For organisasjoner som bruker PeopleSoft, ble dette en hasteoppdatering av høyeste prioritet for å tette det digitale hullet.