ShinyHunters explorou três falhas combinadas em ataque inédito a servidores Oracle
Campanha entre maio e junho atingiu universidades e redes globais de saúde e tecnologia, permitindo acesso remoto sem autenticação.
Mecanismo da vulnerabilidade
O grupo ShinyHunters explorou uma falha no sistema Oracle PeopleSoft que, segundo Bobby Gould, pesquisador do Zero Day Initiative (ZDI), resulta da união de três vulnerabilidades distintas. Identificada como CVE-2026-35273, a brecha possui pontuação de gravidade 9,8 e permite que invasores assumam o controle de servidores afetados sem a necessidade de senha ou login. O relatório técnico da ZDI, publicado nesta terça-feira (27), detalha que o problema inicia-se quando um recurso de integração aceita endereços externos sem verificação adequada, redirecionando o tráfego para a máquina interna do servidor e permitindo a execução de códigos maliciosos.
Alvos e cronologia
Documentos da Mandiant e do Google Threat Intelligence Group indicam que a campanha de exploração ocorreu entre maio e junho. As instituições de ensino superior foram os primeiros alvos, seguida da expansão para dezenas de redes globais nos setores de tecnologia, saúde e transporte. Os invasores utilizaram táticas de desvio de regras de segurança por meio de codificação de caracteres e instalaram ferramentas de acesso remoto para roubar dados e aplicar extorsões, conforme apontado pelas equipes de inteligência.
Resposta da Oracle e recomendações
A Oracle lançou uma atualização de emergência em junho para corrigir a falha nas versões 8.61 e 8.62 do PeopleSoft Enterprise PeopleTools. Analistas da Mandiant e pesquisadores do ZDI afirmam que a instalação imediata do pacote de correção é indispensável. A Mandiant enfatizou em diretrizes oficiais que regras de bloqueio em firewalls de aplicação web não substituem a aplicação da correção oficial disponibilizada pela fabricante.
Leia Também
Capcom planeja encerramento da saga Resident Evil em uma década, com novos títulos garantidos
iFixit aponta falha na dobradiça como possível causa de defeito na tela do iPhone Duo
Apple rejeitou por anos MacBook com tela sensível ao toque, segundo ex-CEOs
