Faille Oracle PeopleSoft notée 9.8/10 : ShinyHunters dans 100+ organisations pendant deux semaines

Plus de 100 organisations utilisant Oracle PeopleSoft ont découvert qu’elles se trouvaient déjà dans le réseau d’extorsion de ShinyHunters avant d’avoir reçu une notification. La vulnérabilité à l’origine de cette campagne — CVE-2026-35273, notée 9,8 sur 10 en gravité — ne nécessite aucune authentification, aucune interaction utilisateur, et rien de plus qu’un accès réseau via HTTP pour exécuter du code à distance sur un serveur exposé.

La faille se trouve dans le composant PeopleTools Updates Environment Management de PeopleSoft, un module courant dans les déploiements de gestion des RH, des informations étudiants et de la gestion financière dont les universités et les entreprises dépendent. Les attaquants l’ont combinée avec des faiblesses connues plus anciennes dans ce que les chercheurs en sécurité appellent une « gadget chain », extrayant des identifiants de fichiers de configuration puis cartographiant les couches applicatives, web et batch connectées à travers l’infrastructure de chaque victime. ShinyHunters a opéré à travers plus de 300 instances de serveurs au sein des organisations ciblées.

ShinyHunters fonctionne sur un modèle de vol de données et d’extorsion plutôt que de chiffrement. Ils exfiltrent les enregistrements, listent les données sur un portail d’extorsion, et publient des fuites échelonnées pour faire pression sur les victimes afin qu’elles paient. Les systèmes compromis ont été laissés avec un fichier nommé README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT. Mandiant a identifié l’ampleur de la campagne et a notifié les organisations concernées ; Arctic Wolf a publié une analyse médico-légale détaillée des outils et des schémas de déplacement latéral du groupe.

Les établissements d’enseignement supérieur ont subi 68 % de l’impact — une conséquence prévisible du fait que les universités utilisent PeopleSoft comme colonne vertébrale à la fois des systèmes RH et d’information étudiants dans le même déploiement. L’Université de Nottingham a confirmé une brèche dans laquelle ShinyHunters a publié plus de 40 gigaoctets de données couvrant près de 500 000 étudiants actuels et anciens. La National Association of Insurance Commissioners a signalé 3,1 téraoctets de données volées. Parmi les victimes nommées figurent Nissan, qui a vu les dossiers des employés des États-Unis, du Canada, du Mexique et du Brésil exposés, ainsi que Kubota North America et une filiale japonaise d’Aflac.

Les données extraites au cours de la campagne couvrent les catégories les plus sensibles gérées par PeopleSoft : noms, coordonnées, informations de compte bancaire, dossiers fiscaux, numéros d’identification délivrés par le gouvernement, et enregistrements concernant les personnes à charge et les bénéficiaires. Pour les universités, cela s’étend aux dossiers d’aide financière et aux identifiants étudiants. Cette combinaison fait de PeopleSoft une cible à haut rendement — une seule installation compromise contient généralement le profil financier complet de l’ensemble des employés et des étudiants d’une institution.

La fenêtre d’exploitation s’est étendue du 27 mai au 9 juin. Oracle a émis un avis d’urgence hors bande le 10 juin, fermant le vecteur d’attaque actif. Le correctif permanent est arrivé le 21 juillet dans le cadre du Critical Patch Update trimestriel d’Oracle — l’un des plus importants de l’histoire de l’entreprise, traitant 1 455 vulnérabilités nouvellement divulguées, dont dix notées CVSS 10.0. Les organisations qui n’ont appliqué que l’avis d’urgence de juin doivent vérifier que le CPU de juillet est en place ; le correctif hors bande a fermé le vecteur exploité par ShinyHunters mais n’a pas corrigé l’ensemble de la chaîne de vulnérabilités.

Oracle recommande d’appliquer immédiatement le CPU de juillet, de restreindre temporairement l’accès réseau aux instances PeopleSoft, et de mettre en place des règles WAF qui désactivent le composant Updates Environment Management à la périphérie du réseau. Pour les personnes liées aux organisations concernées — quiconque dont l’université, l’assureur ou l’employeur utilise PeopleSoft pour les RH, la paie ou l’administration étudiante — le modèle de publication échelonnée de ShinyHunters signifie que des données qui ne sont pas encore apparues publiquement pourraient encore faire surface sur des portails de fuites dans les semaines à venir. Vérifier les rapports de crédit et surveiller toute utilisation suspecte d’identifiants gouvernementaux est la mesure pratique à court terme.

Étiquettes: cybersécurité, CVE-2026-35273, fuite de données, Oracle, PeopleSoft, ShinyHunters