ShinyHunters: criminosos abusaram de três falhas em ataque inédito a Oracle

Uma falha de segurança descoberta no sistema Oracle PeopleSoft e explorada pelo grupo conhecido como ShinyHunters resulta, na verdade, da união de três vulnerabilidades diferentes, conforme explicou Bobby Gould, pesquisador do Zero Day Initiative (ZDI). A brecha foi identificada como “CVE-2026-35273″, conta com pontuação máxima de gravidade de 9.8 e permite que invasores tomem o controle de servidores afetados sem precisar de senha ou login.A vulnerabilidade principal começa quando um recurso de integração do sistema aceita endereços externos sem checagem adequada e permite que criminosos redirecionem o tráfego para a máquina interna do servidor, de acordo com o relatório técnico publicado nesta terça-feira (27) pela ZDI. Como o sistema confia no endereço local por padrão, a barreira de proteção falha e abre caminho para a execução de códigos maliciosos.Em documentos oficiais, a Mandiant e a Google Threat Intelligence Group revelaram que a campanha de exploração ocorreu entre maio e junho, atingindo inicialmente instituições de ensino superior.

Posteriormente, o alvo se expandiu para dezenas de redes globais de tecnologia, saúde e transporte. Os invasores utilizaram táticas como o desvio de regras de segurança por meio de codificação de caracteres e instalaram ferramentas de acesso remoto para roubar dados e aplicar extorsões.A equipe de pesquisa do Google avaliou que a campanha demonstra a capacidade de adaptação dos invasores, sobretudo ao destacar que “o grupo modificou seu método para contornar bloqueios de segurança e atingir sistemas cujos operadores confiavam apenas em regras básicas de firewall”.A Oracle lançou uma atualização de emergência em junho de para resolver a falha nos softwares PeopleSoft Enterprise PeopleTools versões 8.61 e 8.62. Pesquisadores do ZDI e analistas da Mandiant reforçam que a instalação imediata do pacote de correção é indispensável.Essa única falha permitiu que os invasores combinassem vulnerabilidades para burlar verificações de segurança e comprometer instâncias do PeopleSoftPesquisadores do ZDI, em relatórioParalelamente, a Mandiant enfatizou, em diretrizes do portal oficial, que “regras de bloqueio em firewalls de aplicação web não substituem a necessidade urgente de aplicar a correção oficial disponibilizada pela fabricante”.