Falha no Oracle PeopleSoft explorada pelo ShinyHunters une três vulnerabilidades, diz ZDI

A falha crítica no Oracle PeopleSoft explorada pelo grupo criminoso ShinyHunters é, na verdade, a combinação de três vulnerabilidades diferentes. A conclusão está em um relatório técnico publicado na terça-feira (27) pelo Zero Day Initiative (ZDI) e foi detalhada pelo pesquisador Bobby Gould, segundo o TecMundo. O caso foi repercutido pelo The Hacker News no dia seguinte, 28 de outubro.

Registrada como CVE-2026-35273, a brecha recebeu nota 9,8 na escala CVSS, que mede a gravidade de falhas de 0 a 10. Ela permite que invasores assumam o controle de servidores sem precisar de senha ou login. Estão afetadas as versões 8.61 e 8.62 do PeopleSoft Enterprise PeopleTools, parte do sistema de gestão corporativa da Oracle. Segundo o The Hacker News, a Oracle corrigiu as três falhas sob esse mesmo identificador.

Como o ataque funciona

De acordo com o ZDI, o ponto de partida é um recurso de integração que aceita endereços externos sem a checagem adequada. Trata-se de um SSRF (falsificação de solicitação do lado do servidor), técnica em que o atacante faz o próprio servidor enviar requisições em seu nome. Assim, o tráfego é desviado para uma interface de gerenciamento interna. Como o PeopleSoft confia por padrão no endereço loopback, aquele que aponta para a própria máquina, a proteção falha e abre espaço para a execução remota de código.

Em documentos oficiais citados pelo TecMundo, a Mandiant e o Google Threat Intelligence Group (GTIG) relatam que os primeiros alvos foram instituições de ensino superior. Depois, a ação se estendeu a dezenas de redes de tecnologia, saúde e transporte em vários países. Os criminosos usaram codificação de caracteres para driblar regras de segurança e implantaram programas que permitem controlar as máquinas a distância, usados para levar dados e extorquir as vítimas. Segundo o The Hacker News, Mandiant e GTIG atribuem a campanha ao UNC6240, mais conhecido como ShinyHunters.

Para a equipe de pesquisa do Google, citada pelo TecMundo, a campanha mostra que os invasores sabem se adaptar: o grupo mudou a forma de agir para escapar de bloqueios e alcançar sistemas protegidos apenas por regras simples de firewall.

O TecMundo situa a campanha entre maio e junho; o The Hacker News afirma que a exploração ocorre desde maio e que os ataques começaram antes de existir correção. A falha também está no catálogo de vulnerabilidades exploradas ativamente (KEV) da CISA, a agência de cibersegurança do governo dos Estados Unidos.

O que as organizações devem fazer

A Oracle lançou a correção em 10 de junho, em um alerta de segurança fora do seu ciclo regular de atualizações, segundo o The Hacker News. Pesquisadores do ZDI e da Mandiant afirmam, de acordo com o TecMundo, que instalar o pacote imediatamente é indispensável. A Mandiant alerta que bloqueios em firewalls de aplicação web "não substituem" a aplicação da correção oficial da fabricante.