ShinyHunters Exploits Oracle PeopleSoft Zero-Day (CVE-2026-35273) to Breach Universities
Die Hackergruppe ShinyHunters (auch bekannt als UNC6240) nutzte eine Zero-Day-Schwachstelle in Oracle PeopleSoft (CVE-2026-35273) aus, um in die Systeme von Universitäten einzubrechen. Zwischen dem 27. Mai und 9. Juni wurden Daten gestohlen, wofür nun Lösegeld gefordert wird. Betroffene Organisationen sollten umgehend die von Oracle am 10. Juni veröffentlichten Patches installieren und ihre Systeme auf Kompromittierung überprüfen.
Die Erpressergruppe ShinyHunters nutzte eine ungepatchte Schwachstelle (CVE-2026-35273) in Oracle PeopleSoft aus, um in Unternehmenssysteme einzudringen. Ziel der Angriffe war der Diebstahl von Daten, gefolgt von Lösegeldforderungen, um die Veröffentlichung der Daten zu verhindern. Universitäten waren von dieser Kampagne am stärksten betroffen.
Universitäten, Organisationen, die Oracle PeopleSoft nutzen.
Organisationen, die Oracle PeopleSoft einsetzen, sind einem direkten Risiko von Datenexfiltration und Erpressung ausgesetzt, insbesondere wenn sie die genannte Schwachstelle nicht gepatcht haben. Der Vorfall unterstreicht die Notwendigkeit eines schnellen Patch-Managements für kritische Unternehmensanwendungen.
Der schlimmste Fall ist die vollständige Kompromittierung von Oracle PeopleSoft-Systemen, der Diebstahl sensibler Daten und die anschließende Erpressung, um die Veröffentlichung der Daten zu verhindern. Dies kann zu erheblichen finanziellen Verlusten, Reputationsschäden und rechtlichen Konsequenzen führen.
Organisationen, die Oracle PeopleSoft verwenden, sollten umgehend prüfen, ob Patches für CVE-2026-35273 verfügbar sind und diese sofort anwenden. Eine Überprüfung der Systemprotokolle auf Anzeichen einer Kompromittierung ist ebenfalls ratsam.
- ▸Überprüfen Sie, ob alle Oracle PeopleSoft-Instanzen auf die neueste Version gepatcht sind, insbesondere in Bezug auf CVE-2026-35273.
- ▸Überprüfen Sie die Zugriffs- und Audit-Protokolle von Oracle PeopleSoft-Systemen auf ungewöhnliche Anmeldeversuche, Datenzugriffe oder Konfigurationsänderungen.
- ▸Stellen Sie sicher, dass Netzwerksegmentierung und Zugriffskontrollen für Oracle PeopleSoft-Systeme implementiert sind, um unbefugten Zugriff zu verhindern.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1190 Exploit Public-Facing Application | High | The ShinyHunters extortion crew exploited an unpatched flaw in Oracle PeopleSoft to break into enterprise systems |
| Exfiltration | T1041 Exfiltration Over C2 Channel | Medium | steal data, and demand payment to keep it private |
| Impact | T1486 Data Encrypted for Impact | Low | demand payment to keep it private |
- Details zu den spezifischen Daten, die gestohlen wurden, sind nicht im Artikel angegeben.
- Die genaue Methode der Erpressung (z.B. ob Daten verschlüsselt oder nur gestohlen wurden) ist nicht detailliert.
- Die genaue Anzahl der betroffenen Universitäten oder die geografische Verteilung der Angriffe ist nicht spezifiziert.
- Es wird nicht erwähnt, ob es spezifische Indikatoren für Kompromittierung (IOCs) gibt.
- Die genaue Art der 'enterprise systems' über PeopleSoft hinaus ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Oracle extern erreichbar?
- Können wir Resource Development detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog