ShinyHunters atacó a más de 100 empresas con un Oracle PeopleSoft de día cero sin parches

Oracle advirtió el jueves a sus clientes sobre una vulnerabilidad crítica en su software PeopleSoft que los piratas informáticos ya han explotado para atacar a más de 100 empresas. La falla, CVE-2026-35273, tiene una puntuación CVSS de 9,8 y puede usarse en Internet sin ningún tipo de autenticación. Oracle no ha lanzado un parche.

La sugerencia llega un día después de que el grupo de delitos cibernéticos ShinyHunters se responsabilizara de una campaña de piratería masiva. Mandient de Google ha confirmado que el error que Oracle reveló es el mismo que está explotando ShinyHunters. Mandient dijo que ha notificado a más de 100 empresas globales, la mayoría de ellas en Estados Unidos.

Casi dos tercios de los afectados proceden de universidades y colegios. Un miembro de ShinyHunters le dijo a TechCrunch que el grupo robó "Cientos de registros de estudiantes que incluyen nombre completo, dirección particular, teléfono, correo electrónico, fecha de nacimiento, género, origen étnico, estado de inscripción, GPA, especialidad e identificación de estudiante.Entre las instituciones violadas se encontraba la Universidad de Nottingham.

💜 de tecnología de la UE

Los últimos rumores de la escena tecnológica de la UE, una historia de nuestro sabio fundador Boris y algo de arte de inteligencia artificial dudoso. Es gratis, todas las semanas, en tu bandeja de entrada. ¡Regístrate ahora!

"Si bien varias empresas bloquearon con éxito la actividad o remediaron la vulnerabilidad, otras se vieron comprometidas, lo que resultó en la publicación de datos robados en el sitio web de filtración de datos ShinyHunters.Mandiant escribió. Oracle no respondió a la solicitud de comentarios de TechCrunch.

PeopleSoft es utilizado por grandes empresas y universidades para gestionar nóminas, recursos humanos y registros de estudiantes. La vulnerabilidad afecta a las versiones 8.61 y 8.62 de PeopleTools. ShinyHunters aprovechó una cadena de vulnerabilidades antiguas y de día cero para atacar tanto la nube como las instalaciones, comprometiendo casi 300 servidores en más de 100 organizaciones.

El ataque sigue un patrón. ShinyHunters pasó el año pasado apuntando a empresas que comparten software empresarial igualmente vulnerable. Campañas anteriores han afectado a empresas que utilizan Salesforce, Gainsight y Education Platform Instructure. El grupo identifica fallas, encuentra todas las empresas que ejecutan el software, roba datos y exige un rescate.

Infrastructure pagó a los piratas informáticos a principios de este año después de dos infracciones. ShinyHunters también desfiguró las páginas de inicio de sesión de la escuela utilizando el portal Canvas de la infraestructura. La campaña de PeopleSoft es la más grande hasta el momento y está en curso. Oracle recomendó mitigaciones pero no dijo cuándo estaría disponible un parche.

Para cualquier organización que ejecute PeopleSoft, el paso inmediato es implementar las mitigaciones de Oracle y restringir el acceso a través de Internet a los servidores de PeopleSoft. La lección más amplia de la industria del software empresarial es una que se vuelve a aprender una y otra vez: cuando un día cero crítico afecta al software utilizado por cientos de grandes organizaciones, un atacante sólo necesita encontrarlo una vez. La IA está abaratando el descubrimiento de vulnerabilidades. Los defensores no son cada vez más rápidos a la hora de corregir esos defectos. Y grupos como ShinyHunters están industrializando exploits en cada ventana entre lanzamientos y correcciones.