ShinyHunters Explora Falha Zero-Day no Oracle PeopleSoft e Compromete Mais de 100 Organizações

Em uma ação coordenada de divulgação, as equipes Mandiant e Google Threat Intelligence Group (GTIG) confirmaram uma campanha de exploração que durou duas semanas, conduzida pelo grupo de extorsão financeira ShinyHunters (rastreado internamente como UNC6240). Os criminosos usaram uma vulnerabilidade crítica de dia zero (zero-day) no Oracle PeopleSoft, que permitia executar códigos remotamente nos servidores sem a necessidade de qualquer autenticação. O resultado foi um roubo massivo de dados, concentrado principalmente em instituições de ensino. As invasões ocorreram antes de a Oracle publicar seu alerta de segurança fora do ciclo normal, deixando as organizações sem um patch oficial durante toda a janela ativa de intrusão.

A Vulnerabilidade: CVE-2026-35273

A falha, catalogada como CVE-2026-35273, está no componente Environment Management do Oracle PeopleSoft PeopleTools e recebeu a pontuação máxima de severidade CVSS, 9.8 . Na prática, isso significa que um invasor consegue executar códigos remotamente (RCE) via HTTP/HTTPS sem precisar de um usuário e senha válidos ou de qualquer interação humana — basta ter acesso de rede ao servidor visado .

O vetor de ataque específico mirou os endpoints do Environment Management Hub (PSEMHUB). As investigações do Google identificaram requisições POST maliciosas para caminhos como /PSEMHUB/hub e /PSIGW/HttpListeningConnector . A falha afeta as versões 8.61 e 8.62 do PeopleTools . Um detalhe crítico é que toda a campanha, ocorrida entre 27 de maio e 9 de junho de 2026, é anterior ao alerta da Oracle de 10 de junho, confirmando que a falha foi explorada como um zero-day, ou seja, sem que houvesse uma correção disponível .

A Campanha do ShinyHunters: Escala e Alvos

A operação foi ampla e com um foco bem definido. O ShinyHunters comprometeu cerca de 300 instâncias distintas do PeopleSoft, espalhadas por mais de 100 organizações globalmente . O GTIG tomou a iniciativa de notificar proativamente mais de 100 dessas organizações expostas enquanto a exploração ainda estava em andamento .

A campanha teve um alvo muito claro. 68% das vítimas conhecidas eram entidades do setor de ensino superior, principalmente faculdades e universidades, com a maioria localizada nos Estados Unidos .

Para manter o controle dos sistemas invadidos, os criminosos instalaram agentes de gerenciamento remoto MeshCentral, mas disfarçaram os arquivos como se fossem serviços legítimos do Microsoft Azure, usando nomes como meshagent64-azure-ops.exe. A infraestrutura de comando e controle (C2) também imitava o Azure, operando no domínio azurenetfiles.net . Todos os dados roubados foram posteriormente publicados no fórum de vazamento de dados do ShinyHunters (Data Leak Site - DLS) em 9 de junho de 2026 .

Universidade de Nottingham: Um Estudo de Caso Sobre o Impacto

A Universidade de Nottingham foi a primeira vítima confirmada publicamente, servindo como um exemplo claro das consequências desse tipo de invasão. A universidade reconheceu um incidente cibernético em seu sistema de registros de alunos, confirmando que dezenas de gigabytes de dados foram acessados indevidamente .

Relatórios de várias fontes indicam que entre 454.600 e 500.000 registros pessoais e acadêmicos de alunos e ex-alunos foram roubados . O comprometimento se concentrou principalmente nos registros de estudantes, mas a universidade afirmou que dados bancários de funcionários e informações de pesquisas não foram incluídos na violação . Os dados roubados, que continham detalhes como endereço residencial, número de telefone e data de nascimento, foram rapidamente divulgados no site de vazamentos do grupo e indexados pelo serviço “Have I Been Pwned” .

Mitigações Imediatas sem um Patch Oficial

Embora a Oracle tenha emitido um alerta de segurança fora do ciclo normal em 10 de junho de 2026, a orientação inicial consistiu em soluções de contorno, e não em uma correção completa de software. O blog de inteligência de ameaças do Google, em alinhamento com o comunicado da Oracle, recomenda que as organizações tomem as seguintes medidas imediatas para proteger suas instâncias vulneráveis do PeopleSoft :

1. Desabilitar ou Remover o Serviço EMHub: Em configurações com múltiplos servidores, desabilite o serviço Environment Management Hub. Para instalações em servidor único, a recomendação é remover completamente a aplicação PSEMHUB .
2. Bloquear o Acesso Externo: Utilize firewalls de rede ou listas de controle de acesso para restringir o acesso aos endpoints /PSEMHUB/* e /PSIGW/HttpListeningConnector .
3. Auditar Logs de Acesso: As equipes de segurança devem verificar imediatamente os logs de acesso do PIA WebLogic em busca de quaisquer requisições POST para /PSEMHUB/hub e /PSIGW/HttpListeningConnector que tenham se originado de endereços IP externos. Essa etapa é fundamental para identificar um comprometimento anterior .
4. Procurar por Web Shells: Inspecione o sistema de arquivos do PeopleSoft, especialmente sob o caminho /webserv/applications/peoplesoft/PSEMHUB.war/, em busca de arquivos .jsp inesperados que possam ter sido instalados pelo invasor .
5. Monitorar Indicadores de Comprometimento (IOCs): Monitore a presença de diretórios suspeitos com nomes como logs, persistantstorage ou scratchpad dentro dos caminhos do PSEMHUB. Além disso, investigue qualquer tráfego SMB de saída dos servidores PeopleSoft, que pode indicar a exfiltração de dados .

Essas etapas são medidas paliativas essenciais. As organizações que executam as versões 8.61 e 8.62 do PeopleTools devem priorizar a aplicação da atualização de segurança oficial quando ela for disponibilizada pela Oracle para remediar completamente o risco de novas explorações .