ShinyHunters Explora Falha Zero-Day no Oracle PeopleSoft e Invade Mais de 100 Organizações

A Oracle creditou a descoberta da vulnerabilidade a pesquisadores da TrendAI Zero Day Initiative e da TrendAI Research . A combinação de ataque remoto, baixa complexidade, falta de autenticação e ausência de interação humana fez dessa falha um alvo ideal para exploração em massa assim que se tornou conhecida por criminosos.

Como o Ataque Aconteceu: Uma Corrida Contra o Patch

A campanha foi atribuída pela Mandiant, divisão do Google, ao grupo que a empresa monitora como UNC6240, publicamente conhecido como ShinyHunters. A Mandiant datou a janela de exploração ativa entre 27 de maio e 9 de junho de 2026 .

Como a Oracle só publicou seu alerta de segurança e liberou a correção em 10 de junho de 2026, a vulnerabilidade permaneceu como um "dia zero" durante todo o período de ataque . Nesse intervalo, os invasores vasculharam a internet em busca de instâncias expostas do PeopleSoft e usaram a CVE-2026-35273 para obter acesso inicial a servidores desprotegidos.

Uma vez dentro das redes, o grupo se movimentou lateralmente pelos ambientes comprometidos. Especialistas da empresa de segurança Field Effect observaram que os criminosos combinaram a CVE-2026-35273 com técnicas baseadas em credenciais e, possivelmente, outras vulnerabilidades para maximizar o alcance do ataque e encontrar bases de dados valiosas . Essa estratégia de múltiplos estágios permitiu que os ShinyHunters extraíssem muito mais dados do que um simples ataque relâmpago.

Após roubar as informações, o grupo seguiu seu manual de sempre: exigiu pagamento das vítimas, ameaçando publicar os dados sigilosos se o resgate não fosse pago . Essa tática de extorsão, em vez do uso de ransomware que bloqueia sistemas, é uma marca registrada das operações dos ShinyHunters.

Quais Dados Foram Roubados

Os dados roubados variaram de acordo com a organização vítima, mas algumas categorias de alto valor se repetiram em várias invasões:

• Informações de identificação pessoal (PII) de alunos, professores e funcionários .
• Registros acadêmicos, dados de matrícula e informações de auxílio financeiro, reflexo da grande concentração de vítimas no setor educacional .
• Dados de RH e folha de pagamento de empresas que usam o PeopleSoft, incluindo benefícios e salários .
• Arquivos de configuração interna e credenciais, que os invasores usaram para se movimentar dentro dos ambientes comprometidos .

A diversidade dos dados roubados mostra o papel do PeopleSoft como um sistema ERP centralizado que agrega registros confidenciais de departamentos como RH, finanças e operações acadêmicas . Uma única invasão pode expor anos de informações pessoais e institucionais.

A Resposta de Emergência da Oracle

Em 10 de junho de 2026, a Oracle quebrou seu ciclo trimestral de atualizações e publicou um alerta de segurança fora do calendário padrão para a CVE-2026-35273 . A empresa liberou correções para o PeopleTools 8.61 e 8.62 no mesmo dia, uma medida de urgência incomum que destacou a exploração ativa e generalizada da falha .

O alerta da Oracle foi direto: "Esta vulnerabilidade pode ser explorada remotamente sem autenticação. Se explorada com sucesso, pode resultar em execução remota de código" . A empresa orientou todos os clientes a aplicar o patch como uma "medida de redução de risco de alta prioridade" .

CISA Soa o Alarme

Dois dias após o alerta da Oracle, em 12 de junho de 2026, a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou a CVE-2026-35273 ao seu catálogo de Vulnerabilidades Exploradas Ativamente (KEV) . Essa inclusão acionou prazos obrigatórios de correção para agências federais americanas e serviu como um sinal de alerta máximo para todas as organizações, públicas e privadas, de que a falha estava sob ataque ativo e disseminado.

O Centro Canadense de Segurança Cibernética também emitiu um comunicado (AV26-587) em 11 de junho, alertando sobre a exploração ativa e orientando administradores a seguirem as instruções da Oracle imediatamente . A resposta coordenada dos governos refletiu a gravidade e a escala do incidente.

Passos Urgentes de Mitigação

Com base nas orientações da Oracle, CISA, Rapid7 e outras empresas de segurança, as organizações que usam o PeopleSoft devem tomar as seguintes ações sem demora:

1. Aplicar o patch de emergência da Oracle imediatamente nas versões 8.61 e 8.62 do PeopleTools .
2. Verificar versões sem suporte. Se estiver rodando uma versão fora do escopo da correção, planeje uma atualização de emergência para uma versão suportada antes de aplicar o patch.
3. Realizar uma varredura forense nos servidores de aplicação e banco de dados do PeopleSoft em busca de sinais de invasão, como web shells (scripts maliciosos), scripts não autorizados ou ferramentas de roubo de credenciais .
4. Trocar todas as credenciais armazenadas ou acessíveis a partir dos ambientes PeopleSoft, incluindo contas de serviço e strings de conexão com bancos de dados .
5. Restringir o acesso pela internet às interfaces HTTP/HTTPS (portas 80 e 443) do PeopleSoft, sempre que possível, ou colocá-las atrás de uma VPN .
6. Monitorar transferências anormais de dados saindo dos servidores PeopleSoft — grandes envios para endereços IP externos desconhecidos são um forte indicador de vazamento de dados .

Indicadores de Comprometimento (IoCs)

Os indicadores de comprometimento publicados ainda estão evoluindo conforme as investigações continuam. No entanto, algumas categorias de indicadores já foram identificadas nos primeiros relatórios:

• Requisições HTTP não autorizadas direcionadas ao endpoint do Updates Environment Management no PeopleTools .
• Web shells ou arquivos de script inesperados aparecendo nos servidores de aplicação do PeopleSoft .
• Eventos de autenticação incomuns a partir de endereços IP estranhos ou contas de serviço que raramente fazem login .
• Grandes transferências de dados saindo dos servidores de banco de dados do PeopleSoft para destinos externos .
• Criação de novas contas de serviço ou tarefas agendadas nos servidores comprometidos .

Endereços IP específicos controlados pelos invasores também foram publicados — por exemplo, a empresa de segurança Pathlock relatou conexões a partir de 142.11.200.186–190, 108.174.202.99 e 176.120.22.24 — assim como um arquivo de resgate chamado README-IF-... que as organizações devem buscar em seus logs do PeopleSoft .

ShinyHunters e o Setor de Educação: Um Padrão Conhecido

O ataque ao Oracle PeopleSoft não é um caso isolado para os ShinyHunters. O grupo tem uma preferência bem documentada por alvos educacionais, motivada por vários fatores estratégicos:

• Dados ricos e agregados. Universidades e faculdades operam grandes implantações do PeopleSoft que consolidam décadas de registros pessoais, acadêmicos e financeiros de centenas de milhares de pessoas .
• Ciclos de atualização lentos. Instituições de ensino superior frequentemente rodam ambientes PeopleSoft altamente customizados, com cronogramas de atualização inconsistentes e atrasados, tornando-as alvos fáceis para qualquer vulnerabilidade que seja explorada .
• Extorsão, não ransomware. Os ShinyHunters focam em roubo de dados e extorsão, um modelo que traz alto retorno quando os dados roubados são sensíveis o bastante para forçar um pagamento .
• Varredura oportunista em massa. O grupo escaneia setores inteiros em vez de mirar em alvos únicos de alto valor, uma técnica que maximiza seu alcance sempre que uma falha crítica como a CVE-2026-35273 aparece .

A campanha de junho de 2026 se soma a ataques anteriores dos ShinyHunters contra universidades e plataformas de tecnologia educacional, nos quais o grupo roubou milhões de registros e os vendeu em fóruns da dark web. A combinação de uma falha zero-day de execução remota no PeopleTools com um setor vítima que tem lacunas de segurança persistentes provou ser devastadoramente eficaz.

Para as organizações que ainda estão avaliando sua exposição, a prioridade imediata é aplicar a correção. Além disso, o incidente serve como um lembrete de que plataformas de ERP de grande escala exigem as mesmas camadas de defesa, monitoramento e capacidade de resposta rápida de qualquer outro serviço crítico exposto à internet.