0day в Oracle PeopleSoft позволила хакерам обчистить более сотни организаций

Крупные корпоративные системы часто становятся целью не из-за громких функций, а из-за тихих служебных модулей, где годами хранятся данные сотрудников, студентов и клиентов. Группировка ShinyHunters заявила, что использовала критическую уязвимость нулевого дня в Oracle PeopleSoft и получила доступ более чем к 100 организациям через 300 уязвимых экземпляров платформы.

Первым публично подтверждённым случаем стал Ноттингемский университет. По словам злоумышленников, через PeopleSoft они похитили 40 ГБ персональных данных и платёжных записей сотен тысяч нынешних и бывших студентов. Университет появился на сайте утечек ShinyHunters во вторник, 9 июня, а позднее в тот же день похищенные файлы были опубликованы.

Google Threat Intelligence подтвердила активность, похожую на эксплуатацию CVE-2026-35273 (9.8 по шкале CVSS 3.1, AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), в период с 27 мая по 9 июня. Компания уведомила более 100 организаций по всему миру, чьи IP-адреса совпадали с потенциально уязвимыми точками доступа. Большинство таких организаций находятся в США, а 68% относятся к сфере высшего образования.

PeopleSoft используют крупные компании и учреждения для управления кадрами, зарплатами, биллингом, цепочками поставок и студенческими записями. Уязвимость CVE-2026-35273 позволяет удалённому атакующему без авторизации, имеющему сетевой доступ по HTTP, скомпрометировать PeopleSoft Enterprise PeopleTools и получить полный контроль над платформой.

Ноттингемский университет подтвердил инцидент на следующий день после публикации данных, а Oracle выпустила внеплановое предупреждение по безопасности. На момент публикации неясно, выпустила ли Oracle исправление для закрытия уязвимости. Представитель Mandiant Чарльз Кармакал сообщил, что Oracle уже опубликовала меры снижения риска, а исправления должны появиться позже.

До выхода полноценного обновления организациям стоит срочно применить рекомендации Oracle, проверить доступность PeopleSoft из внешних сетей, ограничить HTTP-доступ к платформе, изучить журналы за период с 27 мая по 9 июня и отдельно проверить системы, где хранятся персональные и платёжные данные.