Falha 9.8/10 no Oracle PeopleSoft deu ao ShinyHunters duas semanas em 100+ organizações

Mais de 100 organizações que utilizam Oracle PeopleSoft descobriram que já estavam dentro da rede de extorsão do ShinyHunters antes de receberem qualquer notificação. A vulnerabilidade que possibilitou a campanha — CVE-2026-35273, com gravidade 9.8 de 10 — não exige autenticação, interação do usuário, nem nada além de acesso à rede via HTTP para entregar execução remota completa de código em um servidor exposto.

A falha reside no componente PeopleTools Updates Environment Management do PeopleSoft, um módulo comum às implantações de RH, informações de alunos e gestão financeira das quais universidades e corporações dependem. Os atacantes a combinam com vulnerabilidades antigas conhecidas no que pesquisadores de segurança chamam de cadeia de gadgets, extraindo credenciais de arquivos de configuração e então mapeando os tiers de aplicação, web e batch conectados na infraestrutura de cada vítima. O ShinyHunters trabalhou em mais de 300 instâncias de servidores nas organizações que atacou.

O ShinyHunters opera com um modelo de roubo de dados e extorsão, e não de criptografia. Eles exfiltram registros, listam os dados em um portal de extorsão e liberam vazamentos escalonados para pressionar as vítimas a pagar. Os sistemas comprometidos receberam um arquivo chamado README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT. A Mandiant identificou o alcance da campanha e notificou as organizações afetadas; a Arctic Wolf publicou uma análise forense detalhada das ferramentas do grupo e dos padrões de movimento lateral.

Instituições de ensino superior representaram 68% do impacto — uma consequência previsível de universidades que utilizam PeopleSoft como espinha dorsal tanto de RH quanto de sistemas de informação de alunos na mesma implantação. A Universidade de Nottingham confirmou uma violação na qual o ShinyHunters publicou mais de 40 gigabytes de dados abrangendo quase 500 mil ex-alunos e alunos atuais. A National Association of Insurance Commissioners relatou 3,1 terabytes roubados. Entre as vítimas corporativas citadas estão a Nissan, que teve registros de funcionários dos Estados Unidos, Canadá, México e Brasil expostos, além da Kubota North America e uma subsidiária da Aflac Japan.

Os dados extraídos ao longo da campanha abrangem as categorias mais sensíveis que o PeopleSoft gerencia: nomes, detalhes de contato, informações de contas bancárias, registros fiscais, números de identificação emitidos pelo governo e registros de dependentes e beneficiários. Para universidades, isso se estende a registros de auxílio financeiro e identificações estudantis. A combinação faz do PeopleSoft um alvo de alto rendimento — uma única instalação comprometida geralmente contém o perfil financeiro completo da força de trabalho e da população estudantil de toda uma instituição.

A janela de exploração ocorreu de 27 de maio a 9 de junho. A Oracle emitiu um aviso emergencial fora do ciclo regular em 10 de junho, fechando o vetor de ataque ativo. A correção definitiva chegou em 21 de julho como parte do Critical Patch Update trimestral da Oracle — um dos maiores da história da empresa, abordando 1.455 vulnerabilidades recém-divulgadas, incluindo dez com classificação CVSS 10.0. As organizações que aplicaram apenas o aviso emergencial de junho devem verificar se o CPU de julho está instalado; o patch fora do ciclo fechou o vetor explorado pelo ShinyHunters, mas não corrigiu toda a cadeia de vulnerabilidades.

A Oracle recomenda aplicar imediatamente o CPU de julho, restringir temporariamente o acesso à rede às instâncias do PeopleSoft e implementar regras de WAF que desabilitem o componente Updates Environment Management na borda da rede. Para indivíduos vinculados a organizações afetadas — qualquer pessoa cuja universidade, seguradora ou empregador utilize PeopleSoft para RH, folha de pagamento ou administração de alunos — o modelo de liberação escalonada do ShinyHunters significa que dados que ainda não apareceram publicamente podem surgir nos portais de vazamento nas próximas semanas. Verificar relatórios de crédito e monitorar o uso suspeito de identificação governamental é a medida prática de curto prazo.

Tags: segurança cibernética, CVE-2026-35273, Oracle, PeopleSoft, ShinyHunters, violação de dados