ShinyHunters aktyviai išnaudoja Oracle PeopleSoft nulinės dienos spragą
TL;DR: Oracle birželio 10 d. paskelbė skubų pranešimą apie kritinę (CVSS 9.8) neautentifikuoto nuotolinio kodo vykdymo spragą CVE-2026-35273 PeopleSoft PeopleTools 8.61 ir 8.62 versijose. Google Mandiant patvirtino, kad grupuotė ShinyHunters (UNC6240) ją išnaudojo kaip nulinę dieną dar nuo gegužės 27 d. — duomenys vagiami, aukos šantažuojamos, o pavogta informacija jau skelbiama jų nutekinimo svetainėje.
Kas nutiko: Mandiant ir Google Threat Intelligence Group užfiksavo aktyvią kompromitavimo kampaniją, nukreiptą į PeopleSoft Environment Management Hub (PSEMHUB) galinius taškus. Užpuolikai diegė užmaskuotus MeshCentral agentus, vykdė administracines komandas ir naudojo specialų skriptą judėjimui tinkle bei defacement'ui. Įspėta daugiau nei 100 organizacijų pasaulyje, 68 proc. jų — aukštojo mokslo sektoriuje. Kadangi išnaudojimas (gegužės 27 – birželio 9 d.) prasidėjo iki Oracle birželio 10 d. advisory, spraga veikė kaip nulinė diena, o pirmieji vogtų duomenų rinkiniai paskelbti birželio 9 d.
Kam aktualu: Visoms organizacijoms, naudojančioms Oracle PeopleSoft — ypač universitetams ir kolegijoms, kur PeopleSoft tvarko studentų, personalo ir finansų duomenis. Lietuvos kontekste — aukštosioms mokykloms ir viešojo sektoriaus įstaigoms su PeopleSoft ar giminingomis Oracle ERP sistemomis, taip pat NIS2/KSĮ subjektams, kuriems aktyviai išnaudojama kritinė spraga reiškia neatidėliotiną pažeidžiamumų valdymo prievolę. GDPR požiūriu duomenų vagystė iš tokių sistemų — pranešimo VDAI vertas incidentas.
Ką daryti: Nedelsiant taikyti Oracle birželio 10 d. saugumo pranešime nurodytas pataisas ar mitigacijas PeopleTools 8.61/8.62. Patikrinti, ar PSEMHUB ir kiti PeopleSoft komponentai nepasiekiami iš interneto — jei taip, izoliuoti. Atlikti kompromitacijos paiešką nuo gegužės 27 d.: ieškoti nepažįstamų MeshCentral agentų, įtartinų „*_fanout.sh" tipo skriptų ir anomalių administracinių komandų; radus pėdsakų — aktyvuoti incidentų valdymo planą ir vertinti duomenų nutekėjimo apimtį, ne tik sistemos atstatymą.
Patikimumas: Aukštas — patvirtinta oficialiu Oracle advisory (2026-06-10), detalia Mandiant/GTIG ataskaita su atribucija UNC6240 ir nepriklausomais BleepingComputer bei The Hacker News pranešimais; išnaudojimas vyksta realiai, ne teoriškai.
Posted Jun 12, 2026, 12:50 PM UTC