O grupo de cibercriminosos ShinyHunters, especializado em roubo de dados e extorsão, explorou uma vulnerabilidade zero-day no Oracle PeopleSoft para invadir os recursos de mais de 100 organizações em 300 servidores.
Fonte da imagem: Towfiqu / unsplash.com
A vulnerabilidade em questão é a CVE-2026-35273. Ela permitiu que hackers invadissem o sistema Oracle PeopleSoft da Universidade de Nottingham (Reino Unido), roubando 40 GB de dados, incluindo informações pessoais e registros de pagamento de centenas de milhares de ex-alunos e alunos atuais. “A Universidade de Nottingham, cujo perfil apareceu em nosso site, é um dos primeiros incidentes confirmados publicamente. Acabamos de começar a estabelecer contato com as organizações afetadas e estamos buscando ativamente chegar a um acordo com elas”, disse um representante do ShinyHunters, citado pelo The Register.
O Google confirmou que centenas de organizações foram hackeadas pelo grupo ShinyHunters. Os especialistas da gigante das buscas detectaram atividades suspeitas relacionadas à possível exploração da vulnerabilidade CVE-2026-35273 entre 27 de maio e 9 de junho e notificaram todas as vítimas em potencial. A maioria delas está localizada nos Estados Unidos e 68% pertencem ao setor de ensino superior.
O pacote de software PeopleSoft é utilizado por grandes organizações para gestão de RH, folha de pagamento, faturamento, gestão da cadeia de suprimentos e gestão de registros acadêmicos. A Oracle emitiu um alerta de segurança, mas não foi possível confirmar se já foi lançada uma correção para a vulnerabilidade, que possui uma classificação de 9,8 em 10. Segundo alguns relatos, a empresa tomou algumas medidas, mas a atualização do software ainda não foi disponibilizada.