O que aconteceu
Entre 27 de maio e 9 de junho de 2026, o grupo criminoso ShinyHunters (rastreado pela Mandiant e pelo Google Threat Intelligence Group como UNC6240) explorou uma falha zero-day no Oracle PeopleSoft, a CVE-2026-35273, para invadir mais de 300 instâncias em mais de 100 organizações. A Oracle publicou um alerta e um patch de emergência em 10 de junho, cerca de duas semanas depois do início dos ataques.
Cerca de 68% das vítimas são do ensino superior, onde o PeopleSoft guarda dados de alunos, bolsas, folha de pagamento e RH. A Universidade de Nottingham confirmou a exposição de cerca de 454.600 registros de alunos atuais e antigos, com nomes, endereços, números de passaporte e dados sensíveis como etnia e deficiência.
Este post trata da campanha original de junho. Em setembro, publicamos outro texto sobre o bypass de WAF relacionado a essa CVE.
A falha
- CVSS 9,8, sem autenticação e sem interação do usuário.
- Afeta o componente Environment Management (EMHub) do PeopleTools 8.61 e 8.62.
- Em resumo: uma requisição HTTP manipulada ao gateway PSIGW chega a um servlet administrativo interno (SSRF), que dispara uma desserialização Java insegura e permite executar código no servidor.
Como o ataque funcionou
Segundo a Mandiant, os criminosos montaram um servidor MeshCentral (ferramenta legítima de acesso remoto) como comando e controle e instalaram agentes com nomes que imitam serviços do Azure, como meshagent64-azure-ops.exe. Depois usaram um script *_fanout.sh para testar credenciais SSH em outros servidores internos e deixaram um arquivo de aviso de resgate. Em seguida, vinha a extorsão: pagar ou ter os dados publicados.
O que fazer
- Aplicar o patch da Oracle (alerta de 10 de junho, incluído no CPU de junho) o quanto antes.
- Se não der para aplicar já, desativar o EMHub ou bloquear o acesso externo a
/PSEMHUB/*e/PSIGW/HttpListeningConnector. - Procurar sinais de invasão: binários MeshCentral, conexões de saída estranhas e o arquivo de resgate.
- Trocar credenciais e chaves SSH presentes nos servidores PeopleSoft.
- Se houver vazamento, preparar as notificações legais (no Brasil, a LGPD; na Europa, o GDPR em 72 horas).
Lição para empresas
Componentes administrativos de ERP não deveriam estar expostos à internet. Colocar esses painéis atrás de VPN ou de acesso com verificação de identidade (zero trust) teria bloqueado esse ataque. E falhas críticas em sistemas expostos precisam de janela de correção de emergência, de 24 a 72 horas.
Fontes
- Cloud Security Alliance, nota de pesquisa (30/06/2026): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (11/06/2026), "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group, "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit" (Google Cloud Blog, junho de 2026)
- NVD, CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
Sua empresa usa ERP ou sistemas expostos à internet? A KGA IT faz uma revisão gratuita da sua exposição: kga-it.com.