Le groupe de pirates ShinyHunters a exploité une faille critique zero-day dans Oracle PeopleSoft pour attaquer plus de 100 organisations, principalement dans le secteur de l’éducation.
Le groupe de pirates ShinyHunters a exploité une faille critique zero-day dans Oracle PeopleSoft pour attaquer plus de 100 organisations, principalement dans le secteur de l’éducation. La faille, CVE-2026-35273, permet l’exécution de code à distance sans authentification et présentait un score CVSS de 9,8.
Mandiant et Google Threat Intelligence Group ont découvert la faille zero-day entre le 27 mai et le 9 juin 2026. Les attaquants ont ciblé l’Environment Management Hub (PSEMHUB) dans Oracle PeopleSoft, un composant vulnérable à la faille. Comme Oracle n’a publié un avis de sécurité que le 10 juin, la faille a été exploitée en tant que zero-day.
Le groupe a utilisé des agents MeshCentral personnalisés, déguisés en points de terminaison cloud légitimes, pour exécuter des commandes d’administration et déployer un script de mouvement latéral et de défaçage.
Méthode d’attaque et victimes
Les attaquants ont installé des serveurs MeshCentral et ont utilisé acme-client pour fournir des certificats SSL pour le nom de domaine azurenetfiles.net. Ce nom imitait Microsoft Azure NetApp Files. Ils ont ensuite effectué des reconnaissances dans les réseaux compromis, cartographiant les configurations PeopleSoft via des inspections de fichiers et des configurations de serveurs WebLogic.
Quatre-vingt-six pour cent des organisations alertées étaient actives dans l’enseignement supérieur. Certaines victimes ont vu leurs données apparaître ultérieurement sur le site de fuite de données de ShinyHunters.
Mesures d’atténuation
Oracle et Mandiant recommandent de bloquer immédiatement l’accès réseau aux points de terminaison PSEMHUB et /PSIGW/HttpListeningConnector. De plus, les organisations doivent surveiller les journaux et le trafic sortant sur le port 445. Un audit forensique du système de fichiers sur les hôtes PeopleSoft est également recommandé pour détecter des indicateurs de compromission.