ShinyHunters massivt angrep på Oracle PeopleSoft: Over 100 organisasjoner rammet
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in... 68 % av ofrene var innen høyere utdanning; University of Nottingham var det første offentlig bek...
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in...
68 % av ofrene var innen høyere utdanning; University of Nottingham var det første offentlig bekreftede offeret, med opptil 500 000 studentregistreringer stjålet.
Umiddelbare mottiltak inkluderer å deaktivere eller fjerne PSEMHUB applikasjonen, blokkere ekstern tilgang til bestemte endepunkter, og gjennomgå logger for tegn på kompromittering.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
I en koordinert offentliggjøring har Googles Mandiant og Google Threat Intelligence Group (GTIG) bekreftet en to uker lang angrepskampanje utført av den økonomisk motiverte utpressingsgruppen ShinyHunters (sporet som UNC6240). Gruppen utnyttet en kritisk nulldagssårbarhet i Oracle PeopleSoft. Svakheten tillot angriperne å eksternt utføre kode på sårbare servere uten autentisering, noe som førte til datatyveri, hovedsakelig fra utdanningsinstitusjoner. Aktivitetene fant sted før Oracle publiserte sin sikkerhetsadvarsel, noe som etterlot organisasjoner uten en offisiell oppdatering mens angrepene pågikk.
Nulldagssårbarheten: CVE-2026-35273
Sårbarheten, tildelt CVE-2026-35273, finnes i Environment Management-komponenten i Oracle PeopleSoft PeopleTools og har en maksimal CVSS-score på 9,8, noe som indikerer kritisk alvorlighetsgrad . Den tillater uautentisert ekstern kjøring av kode (RCE) over HTTP/HTTPS. Dette betyr at en angriper verken trenger påloggingsinformasjon eller brukerinteraksjon – kun nettverkstilgang til målserveren .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters massivt angrep på Oracle PeopleSoft: Over 100 organisasjoner rammet"?
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in...
What are the key points to validate first?
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in... 68 % av ofrene var innen høyere utdanning; University of Nottingham var det første offentlig bekreftede offeret, med opptil 500 000 studentregistreringer stjålet.
What should I do next in practice?
Umiddelbare mottiltak inkluderer å deaktivere eller fjerne PSEMHUB applikasjonen, blokkere ekstern tilgang til bestemte endepunkter, og gjennomgå logger for tegn på kompromittering.
ShinyHunters massivt angrep på Oracle PeopleSoft: Over 100 organisasjoner rammet
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in... 68 % av ofrene var innen høyere utdanning; University of Nottingham var det første offentlig bek...
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in...
68 % av ofrene var innen høyere utdanning; University of Nottingham var det første offentlig bekreftede offeret, med opptil 500 000 studentregistreringer stjålet.
Umiddelbare mottiltak inkluderer å deaktivere eller fjerne PSEMHUB applikasjonen, blokkere ekstern tilgang til bestemte endepunkter, og gjennomgå logger for tegn på kompromittering.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
I en koordinert offentliggjøring har Googles Mandiant og Google Threat Intelligence Group (GTIG) bekreftet en to uker lang angrepskampanje utført av den økonomisk motiverte utpressingsgruppen ShinyHunters (sporet som UNC6240). Gruppen utnyttet en kritisk nulldagssårbarhet i Oracle PeopleSoft. Svakheten tillot angriperne å eksternt utføre kode på sårbare servere uten autentisering, noe som førte til datatyveri, hovedsakelig fra utdanningsinstitusjoner. Aktivitetene fant sted før Oracle publiserte sin sikkerhetsadvarsel, noe som etterlot organisasjoner uten en offisiell oppdatering mens angrepene pågikk.
Nulldagssårbarheten: CVE-2026-35273
Sårbarheten, tildelt CVE-2026-35273, finnes i Environment Management-komponenten i Oracle PeopleSoft PeopleTools og har en maksimal CVSS-score på 9,8, noe som indikerer kritisk alvorlighetsgrad . Den tillater uautentisert ekstern kjøring av kode (RCE) over HTTP/HTTPS. Dette betyr at en angriper verken trenger påloggingsinformasjon eller brukerinteraksjon – kun nettverkstilgang til målserveren .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters massivt angrep på Oracle PeopleSoft: Over 100 organisasjoner rammet"?
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in...
What are the key points to validate first?
Googles Mandiant og Google Threat Intelligence Group bekrefter at utpressingsgruppen ShinyHunters utnyttet en kritisk nulldagssårbarhet (CVE 2026 35273, CVSS 9.8) i Oracle PeopleSoft for å kompromittere omtrent 300 in... 68 % av ofrene var innen høyere utdanning; University of Nottingham var det første offentlig bekreftede offeret, med opptil 500 000 studentregistreringer stjålet.
What should I do next in practice?
Umiddelbare mottiltak inkluderer å deaktivere eller fjerne PSEMHUB applikasjonen, blokkere ekstern tilgang til bestemte endepunkter, og gjennomgå logger for tegn på kompromittering.
Det spesifikke angrepsvektoren rettet seg mot Environment Management Hub (PSEMHUB)-endepunkter. Google observerte ondsinnede POST-forespørsler til stier som /PSEMHUB/hub og /PSIGW/HttpListeningConnector. Sårbarheten påvirker PeopleTools versjon 8.61 og 8.62 . Kritisk nok fant kampanjens tidslinje, fra 27. mai til 9. juni 2026, sted før Oracles rådgivning 10. juni, noe som bekrefter at feilen ble utnyttet i naturen som en uoppdatert nulldagssårbarhet .
ShinyHunters-kampanjen: Omfang og mål
Googles etterforskning avdekket en bred og fokusert operasjon. ShinyHunters kompromitterte omtrent 300 distinkte PeopleSoft-instanser fordelt på over 100 organisasjoner globalt . GTIG tok det proaktive steget med å varsle over 100 av disse eksponerte organisasjonene mens angrepene pågikk .
Kampanjen viste et tydelig mønster i målutvelgelsen. 68 % av de kjente ofrene var enheter innen høyere utdanning, primært universiteter og høyskoler, med flertallet lokalisert i USA .
For å opprettholde vedvarende tilgang og kontroll, distribuerte angriperne MeshCentral fjernstyringsagenter, men forkledde filnavnene som legitime Microsoft Azure-tjenester ved å bruke navn som meshagent64-azure-ops.exe. Kommando-og-kontroll-infrastrukturen etterlignet videre Azure ved å bruke domenet azurenetfiles.net. De stjålne dataene ble senere publisert på ShinyHunters' datalekkasjeside (DLS) 9. juni 2026 .
University of Nottingham: Et kasusstudie i konsekvenser
University of Nottingham ble det første offentlig bekreftede offeret og ga en tydelig illustrasjon av bruddets konsekvenser. Universitetet bekreftet et dataangrep som påvirket studentregistreringssystemet og bekreftet at en betydelig mengde data, totalt titalls gigabyte, var blitt tilgjengeliggjort .
Rapporter fra flere kilder indikerer at mellom 454 600 og 500 000 personlige og akademiske registreringer tilhørende nåværende og tidligere studenter ble stjålet . De kompromitterte dataene besto hovedsakelig av student- og alumniregistreringer, men universitetet bemerket at ansattes bankdetaljer og forskningsdata ikke var en del av bruddet . De stjålne dataene, som inkluderte detaljer som hjemmeadresser, telefonnumre og fødselsdatoer, ble raskt publisert på ShinyHunters' lekkasjeside og indeksert av «Have I Been Pwned» .
Umiddelbare mottiltak uten en full oppdatering
Selv om Oracle utstedte en sikkerhetsadvarsel 10. juni 2026, besto den første veiledningen av midlertidige løsninger snarere enn en fullstendig programvareoppdatering. Googles trusselintelligensblogg, i samsvar med Oracles rådgivning, anbefaler organisasjoner å ta følgende umiddelbare skritt for å beskytte sårbare PeopleSoft-instanser :
Deaktiver eller fjern EMHub-tjenesten: I flerserverkonfigurasjoner bør organisasjoner deaktivere Environment Management Hub-tjenesten. For enkeltserverdistribusjoner anbefales det å fjerne PSEMHUB-applikasjonen fullstendig .
Blokker ekstern tilgang ved nettverksgrensen: Begrens tilgang til de utnyttede endepunktene, spesielt /PSEMHUB/* og /PSIGW/HttpListeningConnector, ved hjelp av nettverksbrannmurer eller tilgangskontrollister .
Gransk tilgangslogger: Sikkerhetsteam bør umiddelbart sjekke PIA WebLogic-tilgangslogger for POST-forespørsler til /PSEMHUB/hub og /PSIGW/HttpListeningConnector som stammer fra eksterne IP-adresser for å identifisere historisk kompromittering .
Søk etter webshells: Inspiser PeopleSoft-filsystemet for uventede .jsp-filer som en angriper kan ha plantet, spesielt under stien /webserv/applications/peoplesoft/PSEMHUB.war/.
Overvåk for kompromitteringsindikatorer (IOCs): Overvåk for tilstedeværelsen av mistenkelige kataloger kalt logs, persistantstorage eller scratchpad i PSEMHUB-stier. I tillegg bør man granske all utgående SMB-trafikk fra PeopleSoft-servere, noe som kan indikere dataeksfiltrering .
Disse trinnene er kritiske midlertidige tiltak. Organisasjoner som kjører PeopleTools versjon 8.61 og 8.62, må prioritere å installere Oracles offisielle sikkerhetsoppdatering når den blir tilgjengelig for å fullstendig utbedre risikoen for videre utnyttelse .
Det spesifikke angrepsvektoren rettet seg mot Environment Management Hub (PSEMHUB)-endepunkter. Google observerte ondsinnede POST-forespørsler til stier som /PSEMHUB/hub og /PSIGW/HttpListeningConnector. Sårbarheten påvirker PeopleTools versjon 8.61 og 8.62 . Kritisk nok fant kampanjens tidslinje, fra 27. mai til 9. juni 2026, sted før Oracles rådgivning 10. juni, noe som bekrefter at feilen ble utnyttet i naturen som en uoppdatert nulldagssårbarhet .
ShinyHunters-kampanjen: Omfang og mål
Googles etterforskning avdekket en bred og fokusert operasjon. ShinyHunters kompromitterte omtrent 300 distinkte PeopleSoft-instanser fordelt på over 100 organisasjoner globalt . GTIG tok det proaktive steget med å varsle over 100 av disse eksponerte organisasjonene mens angrepene pågikk .
Kampanjen viste et tydelig mønster i målutvelgelsen. 68 % av de kjente ofrene var enheter innen høyere utdanning, primært universiteter og høyskoler, med flertallet lokalisert i USA .
For å opprettholde vedvarende tilgang og kontroll, distribuerte angriperne MeshCentral fjernstyringsagenter, men forkledde filnavnene som legitime Microsoft Azure-tjenester ved å bruke navn som meshagent64-azure-ops.exe. Kommando-og-kontroll-infrastrukturen etterlignet videre Azure ved å bruke domenet azurenetfiles.net. De stjålne dataene ble senere publisert på ShinyHunters' datalekkasjeside (DLS) 9. juni 2026 .
University of Nottingham: Et kasusstudie i konsekvenser
University of Nottingham ble det første offentlig bekreftede offeret og ga en tydelig illustrasjon av bruddets konsekvenser. Universitetet bekreftet et dataangrep som påvirket studentregistreringssystemet og bekreftet at en betydelig mengde data, totalt titalls gigabyte, var blitt tilgjengeliggjort .
Rapporter fra flere kilder indikerer at mellom 454 600 og 500 000 personlige og akademiske registreringer tilhørende nåværende og tidligere studenter ble stjålet . De kompromitterte dataene besto hovedsakelig av student- og alumniregistreringer, men universitetet bemerket at ansattes bankdetaljer og forskningsdata ikke var en del av bruddet . De stjålne dataene, som inkluderte detaljer som hjemmeadresser, telefonnumre og fødselsdatoer, ble raskt publisert på ShinyHunters' lekkasjeside og indeksert av «Have I Been Pwned» .
Umiddelbare mottiltak uten en full oppdatering
Selv om Oracle utstedte en sikkerhetsadvarsel 10. juni 2026, besto den første veiledningen av midlertidige løsninger snarere enn en fullstendig programvareoppdatering. Googles trusselintelligensblogg, i samsvar med Oracles rådgivning, anbefaler organisasjoner å ta følgende umiddelbare skritt for å beskytte sårbare PeopleSoft-instanser :
Deaktiver eller fjern EMHub-tjenesten: I flerserverkonfigurasjoner bør organisasjoner deaktivere Environment Management Hub-tjenesten. For enkeltserverdistribusjoner anbefales det å fjerne PSEMHUB-applikasjonen fullstendig .
Blokker ekstern tilgang ved nettverksgrensen: Begrens tilgang til de utnyttede endepunktene, spesielt /PSEMHUB/* og /PSIGW/HttpListeningConnector, ved hjelp av nettverksbrannmurer eller tilgangskontrollister .
Gransk tilgangslogger: Sikkerhetsteam bør umiddelbart sjekke PIA WebLogic-tilgangslogger for POST-forespørsler til /PSEMHUB/hub og /PSIGW/HttpListeningConnector som stammer fra eksterne IP-adresser for å identifisere historisk kompromittering .
Søk etter webshells: Inspiser PeopleSoft-filsystemet for uventede .jsp-filer som en angriper kan ha plantet, spesielt under stien /webserv/applications/peoplesoft/PSEMHUB.war/.
Overvåk for kompromitteringsindikatorer (IOCs): Overvåk for tilstedeværelsen av mistenkelige kataloger kalt logs, persistantstorage eller scratchpad i PSEMHUB-stier. I tillegg bør man granske all utgående SMB-trafikk fra PeopleSoft-servere, noe som kan indikere dataeksfiltrering .
Disse trinnene er kritiske midlertidige tiltak. Organisasjoner som kjører PeopleTools versjon 8.61 og 8.62, må prioritere å installere Oracles offisielle sikkerhetsoppdatering når den blir tilgjengelig for å fullstendig utbedre risikoen for videre utnyttelse .
tech.yahoo.comGoogle says ShinyHunters hackers targeting education sector via Oracle exploit
bleepingcomputer.comOracle mitigates PeopleSoft zero-day exploited in data theft attacks
rescana.comOracle PeopleSoft PeopleTools Zero-Day (CVE-2026-35273 ...
cloud.google.comShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit