ShinyHunters massutnyttjar Oracle PeopleSoft zero-day – över 100 organisationer drabbade
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst... 68 % av offren fanns inom högre utbildning.
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst...
68 % av offren fanns inom högre utbildning. University of Nottingham blev första bekräftade offret – upp till 500 000 studentuppgifter stals.
Omedelbara åtgärder: inaktivera eller ta bort PSEMHUB applikationen, blockera extern åtkomst till specifika slutpunkter samt granska loggar för tecken på intrång.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
I en samordnad offentliggörelse har Googles Mandiant och Threat Intelligence Group (GTIG) bekräftat en två veckor lång kampanj från den ekonomiskt motiverade utpressningsgruppen ShinyHunters (spårad som UNC6240). Gruppen utnyttjade en kritisk zero-day-sårbarhet i Oracle PeopleSoft. Felet gjorde det möjligt för angripare att fjärrexekvera kod på sårbara servrar utan någon autentisering, vilket ledde till datastöld, främst från utbildningsinstitutioner. Aktiviteterna ägde rum innan Oracle publicerade sin säkerhetsvarning, vilket innebar att organisationer saknade officiella patchar under det aktiva intrångsfönstret.
Zero-day-sårbarheten: CVE-2026-35273
Sårbarheten, som fått beteckningen CVE-2026-35273, finns i miljöhanteringskomponenten i Oracle PeopleSoft PeopleTools och har det maximala allvarlighetsbetyget CVSS 9,8 . Den möjliggör oautentiserad fjärrexekvering av kod (RCE) över HTTP/HTTPS, vilket innebär att en angripare varken behöver inloggningsuppgifter eller användarinteraktion – endast nätverksåtkomst till den riktade servern .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters massutnyttjar Oracle PeopleSoft zero-day – över 100 organisationer drabbade"?
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst...
What are the key points to validate first?
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst... 68 % av offren fanns inom högre utbildning. University of Nottingham blev första bekräftade offret – upp till 500 000 studentuppgifter stals.
What should I do next in practice?
Omedelbara åtgärder: inaktivera eller ta bort PSEMHUB applikationen, blockera extern åtkomst till specifika slutpunkter samt granska loggar för tecken på intrång.
ShinyHunters massutnyttjar Oracle PeopleSoft zero-day – över 100 organisationer drabbade
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst... 68 % av offren fanns inom högre utbildning.
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst...
68 % av offren fanns inom högre utbildning. University of Nottingham blev första bekräftade offret – upp till 500 000 studentuppgifter stals.
Omedelbara åtgärder: inaktivera eller ta bort PSEMHUB applikationen, blockera extern åtkomst till specifika slutpunkter samt granska loggar för tecken på intrång.
What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detailThe ShinyHunters zero-day campaign compromised hundreds of instances, predominantly targeting universities. Image: AI-generated editorial hero.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Google confirm about the ShinyHunters hacking group's exploitation of an Oracle PeopleSoft zero-day vulnerability, including detail. Article summary: Here is what Google's Mandiant and Threat Intelligence Group (GTIG) confirmed about the ShinyHunters campaign targeting Oracle PeopleSoft:. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecurity newsletter, Beacon. Google has confirmed that in" source context "Google Confirms Data Breach Linked to ShinyHunters" Reference image 2: visual subject "# Google Confirms Data Breach Linked to ShinyHunters. ## In this blog series we spotlight one of the stories from our cybersecu
openai.com
I en samordnad offentliggörelse har Googles Mandiant och Threat Intelligence Group (GTIG) bekräftat en två veckor lång kampanj från den ekonomiskt motiverade utpressningsgruppen ShinyHunters (spårad som UNC6240). Gruppen utnyttjade en kritisk zero-day-sårbarhet i Oracle PeopleSoft. Felet gjorde det möjligt för angripare att fjärrexekvera kod på sårbara servrar utan någon autentisering, vilket ledde till datastöld, främst från utbildningsinstitutioner. Aktiviteterna ägde rum innan Oracle publicerade sin säkerhetsvarning, vilket innebar att organisationer saknade officiella patchar under det aktiva intrångsfönstret.
Zero-day-sårbarheten: CVE-2026-35273
Sårbarheten, som fått beteckningen CVE-2026-35273, finns i miljöhanteringskomponenten i Oracle PeopleSoft PeopleTools och har det maximala allvarlighetsbetyget CVSS 9,8 . Den möjliggör oautentiserad fjärrexekvering av kod (RCE) över HTTP/HTTPS, vilket innebär att en angripare varken behöver inloggningsuppgifter eller användarinteraktion – endast nätverksåtkomst till den riktade servern .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ShinyHunters massutnyttjar Oracle PeopleSoft zero-day – över 100 organisationer drabbade"?
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst...
What are the key points to validate first?
Googles hotintelligensgrupp (GTIG) bekräftar att utpressningsgruppen ShinyHunters utnyttjade en kritisk, ouppdaterad zero day sårbarhet (CVE‑2026‑35273, CVSS 9,8) i Oracle PeopleSoft och komprometterade cirka 300 inst... 68 % av offren fanns inom högre utbildning. University of Nottingham blev första bekräftade offret – upp till 500 000 studentuppgifter stals.
What should I do next in practice?
Omedelbara åtgärder: inaktivera eller ta bort PSEMHUB applikationen, blockera extern åtkomst till specifika slutpunkter samt granska loggar för tecken på intrång.
Attackvektorn riktade sig specifikt mot slutpunkter i Environment Management Hub (PSEMHUB). Google observerade skadliga POST-förfrågningar till sökvägar som /PSEMHUB/hub och /PSIGW/HttpListeningConnector. Sårbarheten påverkar PeopleTools-versionerna 8.61 och 8.62 . Avgörande är att kampanjens tidslinje – från 27 maj till 9 juni 2026 – helt föregår Oracles rådgivning från 10 juni, vilket bekräftar att buggen utnyttjades i det vilda som en opatchad zero-day .
ShinyHunters kampanj: Omfattning och måltavlor
Googles utredning avslöjade en bred och fokuserad operation. ShinyHunters komprometterade cirka 300 olika PeopleSoft-instanser spridda över mer än 100 organisationer globalt . GTIG vidtog proaktiva åtgärder och meddelade över 100 av dessa exponerade organisationer under det aktiva exploateringsfönstret .
Kampanjen uppvisade ett tydligt mönster i valet av måltavlor. 68 % av de kända offren var enheter inom högre utbildning, främst högskolor och universitet, med majoriteten baserade i USA .
För att upprätthålla beständighet och kontroll distribuerade angriparna MeshCentral-fjärrhanteringsagenter, men förklädde filnamnen som legitima Microsoft Azure-tjänster, med namn som meshagent64-azure-ops.exe. Kommando- och kontrollinfrastrukturen härmade ytterligare Azure genom att använda domänen azurenetfiles.net. Den stulna datan publicerades senare på ShinyHunters dataläckage-webbplats den 9 juni 2026 .
University of Nottingham: En fallstudie i effekter
University of Nottingham blev det första offentligt bekräftade offret och gav en tydlig illustration av intrångets konsekvenser. Universitetet bekräftade en cyberincident som påverkade dess studentregister, och bekräftade att en betydande mängd data, totalt tiotals gigabyte, hade kommit åt .
Rapporter från flera källor indikerar att mellan 454 600 och 500 000 personliga och akademiska poster som tillhör nuvarande och tidigare studenter stals . Den komprometterade datan bestod främst av student- och alumnregister, men universitetet noterade att personaluppgifter som bankkonton och forskningsdata inte ingick i intrånget . Den stulna datan, som inkluderade detaljer som hemadresser, telefonnummer och födelsedatum, publicerades snabbt på ShinyHunters läckagesajt och indexerades av ”Have I Been Pwned” .
Omedelbara åtgärder utan patch
Även om Oracle utfärdade en säkerhetsvarning den 10 juni 2026, bestod den initiala vägledningen av temporära lösningar snarare än en fullständig programfix. Googles hotintelligensblogg rekommenderar, i linje med Oracles rådgivning, att organisationer vidtar följande omedelbara steg för att skydda sårbara PeopleSoft-instanser :
Inaktivera eller ta bort EMHub-tjänsten: I flerserverkonfigurationer bör organisationer inaktivera Environment Management Hub-tjänsten. För enkelserverinstallationer är rekommendationen att helt ta bort PSEMHUB-applikationen .
Blockera extern åtkomst vid nätverksgränsen: Begränsa åtkomst till de exploaterade slutpunkterna, specifikt /PSEMHUB/* och /PSIGW/HttpListeningConnector, med hjälp av nätverksbrandväggar eller åtkomstkontrollistor .
Granska åtkomstloggar: Säkerhetsteam bör omedelbart kontrollera PIA WebLogic-åtkomstloggar för POST-förfrågningar till /PSEMHUB/hub och /PSIGW/HttpListeningConnector som kommer från externa IP-adresser för att identifiera historiska komprometteringar .
Sök efter webb-shells: Inspektera PeopleSoft-filsystemet för oväntade .jsp-filer som en angripare kan ha planterat, särskilt under sökvägen /webserv/applications/peoplesoft/PSEMHUB.war/.
Övervaka efter indikatorer på kompromettering (IOC:er): Övervaka förekomsten av misstänkta kataloger med namnen logs, persistantstorage eller scratchpad inom PSEMHUB-sökvägar. Granska dessutom all utgående SMB-trafik från PeopleSoft-servrar, vilket kan indikera dataexfiltrering .
Dessa steg är kritiska temporära åtgärder. Organisationer som kör PeopleTools-versionerna 8.61 och 8.62 måste prioritera att applicera Oracles officiella säkerhetsuppdatering när den blir tillgänglig för att helt åtgärda risken för vidare exploatering .
Attackvektorn riktade sig specifikt mot slutpunkter i Environment Management Hub (PSEMHUB). Google observerade skadliga POST-förfrågningar till sökvägar som /PSEMHUB/hub och /PSIGW/HttpListeningConnector. Sårbarheten påverkar PeopleTools-versionerna 8.61 och 8.62 . Avgörande är att kampanjens tidslinje – från 27 maj till 9 juni 2026 – helt föregår Oracles rådgivning från 10 juni, vilket bekräftar att buggen utnyttjades i det vilda som en opatchad zero-day .
ShinyHunters kampanj: Omfattning och måltavlor
Googles utredning avslöjade en bred och fokuserad operation. ShinyHunters komprometterade cirka 300 olika PeopleSoft-instanser spridda över mer än 100 organisationer globalt . GTIG vidtog proaktiva åtgärder och meddelade över 100 av dessa exponerade organisationer under det aktiva exploateringsfönstret .
Kampanjen uppvisade ett tydligt mönster i valet av måltavlor. 68 % av de kända offren var enheter inom högre utbildning, främst högskolor och universitet, med majoriteten baserade i USA .
För att upprätthålla beständighet och kontroll distribuerade angriparna MeshCentral-fjärrhanteringsagenter, men förklädde filnamnen som legitima Microsoft Azure-tjänster, med namn som meshagent64-azure-ops.exe. Kommando- och kontrollinfrastrukturen härmade ytterligare Azure genom att använda domänen azurenetfiles.net. Den stulna datan publicerades senare på ShinyHunters dataläckage-webbplats den 9 juni 2026 .
University of Nottingham: En fallstudie i effekter
University of Nottingham blev det första offentligt bekräftade offret och gav en tydlig illustration av intrångets konsekvenser. Universitetet bekräftade en cyberincident som påverkade dess studentregister, och bekräftade att en betydande mängd data, totalt tiotals gigabyte, hade kommit åt .
Rapporter från flera källor indikerar att mellan 454 600 och 500 000 personliga och akademiska poster som tillhör nuvarande och tidigare studenter stals . Den komprometterade datan bestod främst av student- och alumnregister, men universitetet noterade att personaluppgifter som bankkonton och forskningsdata inte ingick i intrånget . Den stulna datan, som inkluderade detaljer som hemadresser, telefonnummer och födelsedatum, publicerades snabbt på ShinyHunters läckagesajt och indexerades av ”Have I Been Pwned” .
Omedelbara åtgärder utan patch
Även om Oracle utfärdade en säkerhetsvarning den 10 juni 2026, bestod den initiala vägledningen av temporära lösningar snarare än en fullständig programfix. Googles hotintelligensblogg rekommenderar, i linje med Oracles rådgivning, att organisationer vidtar följande omedelbara steg för att skydda sårbara PeopleSoft-instanser :
Inaktivera eller ta bort EMHub-tjänsten: I flerserverkonfigurationer bör organisationer inaktivera Environment Management Hub-tjänsten. För enkelserverinstallationer är rekommendationen att helt ta bort PSEMHUB-applikationen .
Blockera extern åtkomst vid nätverksgränsen: Begränsa åtkomst till de exploaterade slutpunkterna, specifikt /PSEMHUB/* och /PSIGW/HttpListeningConnector, med hjälp av nätverksbrandväggar eller åtkomstkontrollistor .
Granska åtkomstloggar: Säkerhetsteam bör omedelbart kontrollera PIA WebLogic-åtkomstloggar för POST-förfrågningar till /PSEMHUB/hub och /PSIGW/HttpListeningConnector som kommer från externa IP-adresser för att identifiera historiska komprometteringar .
Sök efter webb-shells: Inspektera PeopleSoft-filsystemet för oväntade .jsp-filer som en angripare kan ha planterat, särskilt under sökvägen /webserv/applications/peoplesoft/PSEMHUB.war/.
Övervaka efter indikatorer på kompromettering (IOC:er): Övervaka förekomsten av misstänkta kataloger med namnen logs, persistantstorage eller scratchpad inom PSEMHUB-sökvägar. Granska dessutom all utgående SMB-trafik från PeopleSoft-servrar, vilket kan indikera dataexfiltrering .
Dessa steg är kritiska temporära åtgärder. Organisationer som kör PeopleTools-versionerna 8.61 och 8.62 måste prioritera att applicera Oracles officiella säkerhetsuppdatering när den blir tillgänglig för att helt åtgärda risken för vidare exploatering .
tech.yahoo.comGoogle says ShinyHunters hackers targeting education sector via Oracle exploit
bleepingcomputer.comOracle mitigates PeopleSoft zero-day exploited in data theft attacks
rescana.comOracle PeopleSoft PeopleTools Zero-Day (CVE-2026-35273 ...
cloud.google.comShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit