Qué pasó
Entre el 27 de mayo y el 9 de junio de 2026, el grupo criminal ShinyHunters (rastreado por Mandiant y Google Threat Intelligence Group como UNC6240) explotó un zero-day en Oracle PeopleSoft, la CVE-2026-35273, para comprometer más de 300 instancias en más de 100 organizaciones. Oracle publicó una alerta y un parche de emergencia el 10 de junio, unas dos semanas después del inicio de los ataques.
Cerca del 68 % de las víctimas pertenece a la educación superior, donde PeopleSoft guarda datos de alumnos, becas, nóminas y RR. HH. La Universidad de Nottingham confirmó la exposición de unos 454.600 registros de alumnos actuales y antiguos, con nombres, direcciones, números de pasaporte y datos sensibles como etnia y discapacidad.
Este artículo trata la campaña original de junio. En septiembre publicamos otro sobre el bypass de WAF relacionado con esta CVE.
La vulnerabilidad
- CVSS 9,8, sin autenticación ni interacción del usuario.
- Afecta al componente Environment Management (EMHub) de PeopleTools 8.61 y 8.62.
- En resumen: una petición HTTP manipulada al gateway PSIGW llega a un servlet administrativo interno (SSRF), que provoca una deserialización Java insegura y permite ejecutar código en el servidor.
Cómo funcionó el ataque
Según Mandiant, los atacantes montaron un servidor MeshCentral (herramienta legítima de acceso remoto) como mando y control e instalaron agentes con nombres que imitan servicios de Azure, como meshagent64-azure-ops.exe. Luego usaron un script *_fanout.sh para probar credenciales SSH en otros servidores internos y dejaron un archivo con nota de rescate. Después llegaba la extorsión: pagar o ver los datos publicados.
Qué hacer
- Aplicar el parche de Oracle (alerta del 10 de junio, incluido en el CPU de junio) cuanto antes.
- Si aún no es posible, desactivar EMHub o bloquear el acceso externo a
/PSEMHUB/*y/PSIGW/HttpListeningConnector. - Buscar señales de intrusión: binarios de MeshCentral, conexiones salientes extrañas y el archivo de rescate.
- Rotar credenciales y claves SSH presentes en los servidores PeopleSoft.
- Si hubo fuga, preparar las notificaciones legales (en Europa, el RGPD exige 72 horas).
Lección para las empresas
Los componentes administrativos del ERP no deberían estar expuestos a internet. Ponerlos detrás de una VPN o de un acceso con verificación de identidad (zero trust) habría bloqueado este ataque. Y las fallas críticas en sistemas expuestos necesitan una ventana de parcheo de emergencia de 24 a 72 horas.
Fuentes
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
¿Tu empresa usa un ERP u otros sistemas expuestos a internet? KGA IT ofrece una revisión gratuita de tu exposición: kga-it.com.