Falha zero-day no Oracle PeopleSoft é explorada pelo grupo ShinyHunters

O grupo de extorsão ShinyHunters explorou ativamente uma vulnerabilidade crítica de execução remota de código no Oracle PeopleSoft, identificada como CVE-2026-35273, comprometendo cerca de 300 instâncias em mais de 100 organizações ao redor do mundo. A falha foi corrigida na Critical Patch Update de julho de 2026 da Oracle.

Detalhes técnicos da falha

A vulnerabilidade reside no componente Updates Environment Management do PeopleSoft Enterprise PeopleTools, nas versões 8.61 e 8.62, e recebeu nota CVSS 3.1 de 9,8 (crítica). Ela não exige autenticação nem interação do usuário e tem baixa complexidade de exploração, permitindo que um atacante remoto execute código arbitrário via HTTP. A Oracle havia emitido um alerta de segurança fora do ciclo normal em 10 de junho de 2026, mas a exploração ativa em massa só veio a público nas semanas seguintes.

Escala do ataque do ShinyHunters

Segundo pesquisadores, o ShinyHunters encadeou a falha de execução remota de código com uma segunda vulnerabilidade de elevação de privilégio no PeopleTools para ampliar o acesso obtido nos sistemas comprometidos. O setor de educação foi desproporcionalmente afetado entre as organizações atingidas, um padrão recorrente em campanhas anteriores do grupo contra sistemas ERP e ERP-adjacentes.

O que fazer se sua organização usa PeopleSoft

• Aplicar imediatamente a Critical Patch Update de julho de 2026 da Oracle em todas as instâncias PeopleTools 8.61 e 8.62;
• Revisar logs de acesso ao componente Updates Environment Management em busca de atividade suspeita anterior à correção;
• Isolar instâncias PeopleSoft expostas à internet atrás de um WAF ou VPN sempre que possível, reduzindo a superfície de ataque enquanto os patches são validados em produção;
• Verificar se há indicadores de comprometimento mesmo após aplicar o patch, já que a exploração pode ter ocorrido antes da correção estar disponível.

Perguntas frequentes

Só as versões 8.61 e 8.62 do PeopleTools são afetadas?
Sim, a CVE-2026-35273 foi confirmada especificamente nessas duas versões do PeopleSoft Enterprise PeopleTools.

Aplicar o patch remove um comprometimento que já tenha ocorrido?
Não. O patch fecha a brecha usada para a invasão, mas não desfaz um acesso indevido anterior — organizações que rodaram versões vulneráveis expostas à internet antes da correção devem investigar indícios de comprometimento.

Por que o setor de educação foi tão afetado?
PeopleSoft é amplamente usado por instituições de ensino para sistemas administrativos e de matrícula, o que historicamente torna esse setor um alvo recorrente de campanhas contra essa plataforma.

Conclusão

A campanha do ShinyHunters contra o Oracle PeopleSoft reforça a urgência de aplicar patches críticos assim que disponíveis, especialmente em sistemas ERP expostos à internet que concentram dados sensíveis de grandes organizações.