Grupa wymuszeń ShinyHunters wykorzystała krytyczną lukę zero-day w Oracle PeopleSoft do kradzieży danych z potencjalnie ponad 100 organizacji.
Według badań Mandiant i Google Threat Intelligence Group grupa wykorzystała błąd w Oracle PeopleTools, bazowej platformie uruchomieniowej i deweloperskiej używanej w środowiskach PeopleSoft. Podatność jest śledzona jako CVE-2026-35273 i ma krytyczną ocenę CVSS 9.8.
Problem umożliwiał nieuwierzytelnione zdalne wykonanie kodu przez Environment Management Hub, znany też jako EMHub, usługę zaplecza PeopleSoft służącą do zarządzania agentami w środowiskach PeopleSoft.
Kampania trwała podobno od 27 maja do 9 czerwca 2026 roku i wydaje się, że silnie dotknęła organizacje szkolnictwa wyższego.
Dlaczego PeopleSoft jest cennym celem
PeopleSoft jest szeroko stosowany przez duże organizacje do planowania zasobów przedsiębiorstwa i administracji.
Do typowych zastosowań należą:
- płace
- zasoby ludzkie
- zarządzanie łańcuchem dostaw
- operacje finansowe
- administracja studentami
- akta pracownicze
- administracja instytucjonalna
Ponieważ PeopleSoft często przechowuje wrażliwe dane osobowe, finansowe i operacyjne, jest atrakcyjnym celem dla grup wymuszeń.
Udane przejęcie może ujawnić:
- akta pracownicze
- akta studentów
- dane płacowe
- dokumenty HR
- informacje finansowe
- dane tożsamości
- wewnętrzne dokumenty biznesowe
- dokumenty administracyjne
Dla uczelni, organów rządowych i dużych przedsiębiorstw PeopleSoft może być jednym z najbardziej wrażliwych systemów w środowisku.
Czym jest CVE-2026-35273?
CVE-2026-35273 to krytyczna podatność zdalnego wykonania kodu w PeopleTools.
Błąd znajduje się w Environment Management Hub, komponencie zaplecza używanym do śledzenia agentów i zarządzania nimi w środowiskach PeopleSoft.
Według Mandiant i Google Threat Intelligence Group podatność dało się wykorzystać bez uwierzytelniania.
To czyni ten problem szczególnie niebezpiecznym.
Nieuwierzytelniona podatność RCE oznacza, że atakujący nie potrzebuje ważnych danych uwierzytelniających, aby zacząć wykonywać kod w podatnym systemie. Jeśli podatna usługa jest wystawiona na zewnątrz, wykorzystanie może być szybkie i bardzo szkodliwe.
Oracle załatał już ten błąd i opublikował biuletyn bezpieczeństwa.
Jak ShinyHunters wykorzystali tę lukę
ShinyHunters zaczęli wykorzystywać CVE-2026-35273 27 maja 2026 roku, atakując organizacje na całym świecie, w których działały podatne środowiska PeopleSoft.
Grupa twierdziła, że przejęła ponad 300 instancji PeopleSoft w ponad 100 organizacjach.
Mandiant i Google powiadomiły ponad 100 organizacji z potencjalnie podatnymi punktami końcowymi.
Badacze mogli odtworzyć fragmenty ataku, ponieważ cyberprzestępcy przypadkowo pozostawili kilka katalogów wystawionych w otwartym internecie.
Te ujawnione katalogi odsłoniły szczegóły dotyczące narzędzi, infrastruktury i procesu działań po wykorzystaniu podatności stosowanych przez grupę.
Narzędzia użyte w kampanii
Atakujący użyli kombinacji narzędzi do zdalnego zarządzania, rozpoznania, ataków na dane uwierzytelniające i eksfiltracji danych.
MeshCentral do dowodzenia i kontroli
ShinyHunters użyli MeshCentral, otwartoźródłowej platformy do zdalnego zarządzania działającej w przeglądarce, do operacji dowodzenia i kontroli.
Aby aktywność wyglądała mniej podejrzanie, atakujący nazwali agentów MeshCentral na wzór usług Microsoft Azure.
Taki kamuflaż nazewniczy jest powszechny. Atakujący często maskują złośliwe narzędzia jako usługi chmurowe, aktualizacyjne lub systemowe, aby uniknąć szybkiego wykrycia.
Rozpoznanie przez MeshCentral CLI
Grupa używała interfejsu wiersza poleceń MeshCentral do rozpoznania w przejętych środowiskach.
Prawdopodobnie pomogło to zidentyfikować magazyny danych, dostępne systemy, dane uwierzytelniające i ścieżki dalszego przemieszczania się.
Spryskiwanie danych uwierzytelniających SSH
Atakujący użyli także własnego skryptu do spryskiwania danych uwierzytelniających SSH (credential spraying), aby rozprzestrzenić się głębiej w środowiskach ofiar.
Credential spraying polega na wypróbowywaniu znanych lub prawdopodobnych danych uwierzytelniających w wielu systemach. W środowisku, w którym hasła są używane ponownie lub słabo chronione, może to szybko rozszerzyć dostęp.
Zstandard do eksfiltracji danych
Grupa użyła algorytmu kompresji Zstandard do kompresji i eksfiltracji dużych ilości skradzionych danych.
Kompresja pomaga atakującym wydajniej przenosić dane i może zmniejszać rozmiar transferów, które obrońcy muszą kontrolować.
Silnie dotknięte szkolnictwo wyższe
Spośród organizacji, z którymi skontaktował się Google, większość miała siedzibę w Stanach Zjednoczonych, a 68% działało w szkolnictwie wyższym.
Ma to znaczenie, ponieważ uczelnie często prowadzą duże, złożone środowiska PeopleSoft, które zawierają wrażliwe dane studentów i pracowników.
University of Nottingham w Wielkiej Brytanii potwierdził, że znalazł się wśród dotkniętych organizacji, informując, że z jego systemu akt studentów skradziono znaczną ilość danych.
ShinyHunters umieścili też uczelnię na swojej stronie z wyciekami, twierdząc, że posiadają ponad 40 GB wrażliwych danych.
Uczelnia potwierdziła, że dotknięci zostali obecni i byli studenci, choć nie podała publicznie, jakie dokładnie rodzaje danych skradziono.
Dalsze skupienie ShinyHunters na edukacji
Ta kampania wpisuje się w szerszy schemat ataków ShinyHunters na sektor edukacji.
Grupę powiązano wcześniej z atakami na Instructure, firmę stojącą za szeroko stosowaną platformą do zarządzania nauczaniem Canvas.
Instructure zostało zaatakowane we wrześniu zeszłego roku i podobno doświadczyło kolejnego zakłócenia tej wiosny, a później ogłosiło, że osiągnęło porozumienie z cyberprzestępcami.
Kampania przeciwko PeopleSoft potwierdza, że edukacja pozostaje głównym celem grup wymuszeń.
Uczelnie często posiadają cenne dane, prowadzą otwarte i rozproszone sieci oraz polegają na przestarzałych systemach korporacyjnych, które trudno szybko łatać.
Dlaczego ekspozycja EMHub ma znaczenie
Mandiant i Google podkreśliły, że organizacje powinny wyłączyć EMHub lub ograniczyć do niego dostęp tam, gdzie to możliwe.
Kluczowe jest to, że EMHub nie jest wymagany do podstawowych sesji przeglądarkowych użytkowników w PeopleSoft Internet Architecture.
Oznacza to, że wiele organizacji może zablokować zewnętrzny dostęp lub wyłączyć tę usługę bez zakłócania normalnego dostępu użytkowników do PeopleSoft.
To ważny środek zaradczy, ponieważ wystawione do internetu usługi zarządzania na zapleczu często tworzą niepotrzebne ryzyko.
Jeśli usługa nie musi być dostępna z zewnątrz, nie powinna być wystawiona.
Zapory aplikacji internetowych nie wystarczą
Badacze zauważyli, że niektóre podatne organizacje miały swoje środowiska chronione zaporami aplikacji internetowych (WAF).
WAF mogą pomóc ograniczyć część prób wykorzystania podatności, ale nie należy ich traktować jako trwałego rozwiązania.
Atakujący często potrafią zmodyfikować ładunki, aby ominąć reguły WAF, zwłaszcza gdy podatność jest cenna i aktywnie atakowana.
Priorytetem pozostaje poprawka Oracle i zalecane środki zaradcze.
WAF może być częścią strategii obrony w głąb, ale nie powinien zastępować łatania, ograniczania usług ani zmniejszania ekspozycji.
Co organizacje powinny zrobić teraz
Organizacje korzystające z PeopleSoft powinny działać natychmiast.
Zalecane kroki obejmują:
- zastosowanie poprawki Oracle dla CVE-2026-35273
- zidentyfikowanie wszystkich wdrożeń PeopleSoft i PeopleTools
- ustalenie, czy EMHub jest włączony
- wyłączenie EMHub, jeśli nie jest wymagany
- zablokowanie zewnętrznego dostępu sieciowego do EMHub
- ograniczenie dostępu do EMHub wyłącznie do zaufanych sieci administracyjnych
- przejrzenie logów pod kątem aktywności między 27 maja a 9 czerwca 2026 roku
- wyszukanie agentów MeshCentral lub powiązanych artefaktów zdalnego zarządzania
- zbadanie podejrzanych nazw usług przypominających usługi Microsoft Azure
- przejrzenie prób logowania SSH i wzorców credential sprayingu
- poszukiwanie dużych skompresowanych archiwów danych
- monitorowanie użycia Zstandard w nietypowych lokalizacjach
- sprawdzenie nieoczekiwanych wychodzących transferów danych
- zmianę danych uwierzytelniających powiązanych ze środowiskami PeopleSoft
- przegląd kont uprzywilejowanych i kont usług
Każde wystawione środowisko PeopleSoft należy traktować jako obarczone wysokim ryzykiem, dopóki nie zostanie załatane i zweryfikowane.
Czego szukać
Zespoły bezpieczeństwa powinny szukać oznak aktywności po wykorzystaniu podatności.
Potencjalne wskaźniki obejmują:
- nieoczekiwane instalacje MeshCentral
- agentów MeshCentral o nazwach przypominających Azure
- nietypową aktywność w wierszu poleceń na serwerach PeopleSoft
- nieudane logowania SSH w wielu systemach wewnętrznych
- udany dostęp SSH z nieoczekiwanych źródeł
- narzędzia kompresji Zstandard w nietypowych ścieżkach
- duże skompresowane pliki tworzone tuż przed wychodzącym transferem
- nietypowe połączenia wychodzące z serwerów PeopleSoft
- nowe usługi lub zaplanowane zadania
- podejrzane konta administracyjne
- niewyjaśniony dostęp do danych w systemach studenckich, HR lub płacowych
Ponieważ ShinyHunters to grupa wymuszeń, obrońcy powinni też zwracać uwagę na oznaki przygotowywania danych do kradzieży i eksfiltracji.
Wnioski z kampanii
Ta kampania uwydatnia kilka ważnych wniosków.
Po pierwsze, systemy ERP są cennymi celami. Często zawierają dane, na których atakującym zależy najbardziej.
Po drugie, usługi zarządzania na zapleczu mogą stwarzać poważną ekspozycję, jeśli pozostaną dostępne z internetu.
Po trzecie, nieuwierzytelnione podatności RCE w platformach korporacyjnych można szybko uzbroić.
Po czwarte, WAF nie należy traktować jako trwałych poprawek dla krytycznych podatności.
Po piąte, organizacje edukacyjne pozostają szczególnie atrakcyjne dla grup wymuszeń ze względu na rodzaj i ilość danych, którymi zarządzają.
Wreszcie, reagowanie na incydenty musi wykraczać poza łatanie. Jeśli mogło dojść do wykorzystania podatności, organizacje muszą zbadać dostęp, mechanizmy utrwalania, ruch boczny, kradzież danych uwierzytelniających i eksfiltrację danych.
Dlaczego bezpieczeństwo ERP wymaga większej uwagi
PeopleSoft to nie kolejna zwykła aplikacja biznesowa. Często pełni rolę systemu referencyjnego.
W wielu organizacjach zawiera wrażliwe dane o pracownikach, studentach, dostawcach, płacach, świadczeniach, operacjach i finansach.
Czyni to z niego priorytetowy cel.
Bezpieczeństwo ERP powinno obejmować:
- ścisłe zarządzanie ekspozycją
- ciągłe monitorowanie podatności
- regularne łatanie
- segmentację
- kontrolę dostępu uprzywilejowanego
- przegląd kont usług
- logowanie i alertowanie
- monitorowanie dostępu do danych
- planowanie reagowania na incydenty
- przegląd bezpieczeństwa przez strony trzecie
Systemy przechowujące wrażliwe dane administracyjne potrzebują takiego samego poziomu ochrony jak platformy tożsamości, bazy danych i systemy finansowe.
Podsumowanie
Kampania ShinyHunters przeciwko Oracle PeopleSoft pokazuje, jak szybko krytyczna luka zero-day w oprogramowaniu korporacyjnym może zamienić się w globalną operację kradzieży danych.
Wykorzystując CVE-2026-35273 w PeopleTools EMHub, grupa uzyskała nieuwierzytelnione zdalne wykonanie kodu w podatnych środowiskach i podobno przejęła setki instancji PeopleSoft.
Szkolnictwo wyższe wydaje się silnie dotknięte, a University of Nottingham potwierdził poważny wyciek danych z systemu akt studentów.
Organizacje korzystające z PeopleSoft powinny natychmiast załatać system, wyłączyć lub ograniczyć EMHub, przejrzeć ekspozycję i zbadać oznaki obecności MeshCentral, spryskiwania danych uwierzytelniających SSH, gromadzenia skompresowanych danych oraz eksfiltracji.
Dla obrońców przesłanie jest jasne: platformy ERP z perspektywy bezpieczeństwa nie są systemami zaplecza. To skarbce z najcenniejszymi danymi i atakujący doskonale o tym wiedzą.
