Publicado en

Google confirma explotación de vulnerabilidad Zero-Day en Oracle PeopleSoft por ShinyHunters

•Publicado enIncidentes y Brechas

Alerta crítica para usuarios de Oracle PeopleSoft: Explotación activa detectada

Google y su división de inteligencia de amenazas, Mandiant, han confirmado recientemente que una vulnerabilidad crítica en Oracle PeopleSoft, identificada como CVE-2026-35273, ha sido explotada activamente como un zero-day. El grupo de ciberdelincuentes conocido como ShinyHunters (rastreado por Google como UNC6240) ha utilizado este fallo para comprometer sistemas y sustraer datos confidenciales de múltiples organizaciones a nivel global.

¿Qué es la vulnerabilidad CVE-2026-35273?

Este fallo de seguridad se clasifica como una vulnerabilidad de ejecución remota de código (RCE) no autenticada. En términos técnicos, esto significa que un atacante puede ejecutar comandos arbitrarios en el servidor que aloja PeopleSoft sin necesidad de poseer credenciales de acceso válidas. La gravedad de este incidente radica en la naturaleza de PeopleSoft, un conjunto de aplicaciones ERP utilizado por grandes corporaciones e instituciones para gestionar recursos humanos, nóminas, finanzas y cadenas de suministro.

Las versiones específicamente afectadas incluyen:

  • PeopleSoft Enterprise PeopleTools versiones 8.61 y 8.62.
  • Diversas aplicaciones dentro de PeopleSoft Enterprise Applications.

Impacto en el sector educativo y empresarial

Aunque PeopleSoft es transversal a muchas industrias, la campaña de ShinyHunters parece haberse centrado con especial intensidad en el sector de la educación superior. Según los informes de Google, aproximadamente el 68% de las organizaciones notificadas pertenecen a este sector. La Universidad de Nottingham en el Reino Unido ha sido una de las primeras víctimas confirmadas en sufrir una filtración de datos derivada de este ataque.

Se estima que los atacantes han intentado comprometer cerca de 300 instancias de PeopleSoft pertenecientes a un centenar de organizaciones. Los investigadores observaron el uso de agentes personalizados de MeshCentral camuflados como puntos finales de nube legítimos para realizar movimientos laterales dentro de las redes comprometidas.

Recomendaciones de seguridad para empresas

Oracle ya ha emitido un aviso de seguridad fuera de banda y alertas para mitigar este riesgo. Desde la perspectiva de la gestión de ciberseguridad en Intedya, recomendamos a las organizaciones que utilicen estas herramientas seguir los siguientes pasos:

  1. Aplicar mitigaciones de inmediato: Consultar el aviso oficial de Oracle para CVE-2026-35273 y aplicar las medidas correctivas sugeridas, dado que los parches completos podrían requerir ciclos de actualización específicos.
  2. Revisión de logs e indicadores de compromiso (IoCs): Analizar los registros de red en busca de actividad inusual asociada con agentes de MeshCentral o scripts de movimiento lateral.
  3. Reforzamiento del perímetro: Limitar la exposición de las interfaces de administración de PeopleSoft a internet y utilizar redes privadas virtuales (VPN) o arquitecturas Zero Trust para el acceso.
  4. Auditoría de datos: Evaluar si ha habido accesos no autorizados a bases de datos de RR.HH. o financieras en las últimas semanas.

La explotación de vulnerabilidades zero-day en software empresarial crítico subraya la importancia de contar con sistemas de detección temprana y una estrategia de respuesta ante incidentes robusta y actualizada.

Fuentes