Publicado en

ShinyHunters explota vulnerabilidad Zero-Day en Oracle PeopleSoft: Impacto crítico en universidades

•Publicado enVulnerabilidades

El grupo de extorsión ShinyHunters compromete sistemas ERP antes de la publicación de parches de seguridad

El panorama de la ciberseguridad se enfrenta a una nueva y grave amenaza tras la revelación de que el grupo de extorsión ShinyHunters (rastreado por Mandiant como UNC6240) ha explotado activamente una vulnerabilidad de tipo Zero-Day en el software Oracle PeopleSoft. Este ataque, que tuvo lugar entre finales de mayo y principios de junio de 2026, ha afectado especialmente a instituciones de educación superior, comprometiendo datos sensibles de cientos de miles de personas.

Análisis técnico: CVE-2026-35273

La vulnerabilidad en cuestión, identificada como CVE-2026-35273, es un fallo de ejecución remota de código (RCE) en el componente PeopleSoft Enterprise PeopleTools. Su peligrosidad es extrema, con una calificación de 9.8 sobre 10 en la escala CVSS, debido a varias características críticas:

  • Sin autenticación: No requiere credenciales de acceso para ser explotada.
  • Sin interacción del usuario: El atacante no necesita que una víctima haga clic en ningún enlace o abra archivos.
  • Acceso por red: Se puede ejecutar a través del protocolo HTTP si el Environment Management Hub (PSEMHUB) es accesible desde internet.

El fallo reside específicamente en el componente de gestión de actualizaciones, permitiendo a los atacantes tomar el control total del servidor afectado.

Impacto en el sector educativo

Según los informes de Mandiant, más de 100 organizaciones fueron notificadas sobre endpoints vulnerables, de las cuales el 68% pertenecen al sector de la educación superior. Un ejemplo notable es la Universidad de Nottingham, donde se ha confirmado la filtración de aproximadamente 455,000 direcciones de correo electrónico únicas, además de nombres, pasaportes y datos personales sensibles de estudiantes y exalumnos.

ShinyHunters ha utilizado este acceso para desplegar agentes de gestión remota personalizados, disfrazados de binarios legítimos de Microsoft Azure, y scripts de movimiento lateral para expandirse por las redes internas de las víctimas.

Recomendaciones y mitigación para empresas

Desde Intedya, subrayamos la importancia de proteger los sistemas de planificación de recursos empresariales (ERP), que suelen albergar los datos más valiosos de una organización. Si su institución utiliza Oracle PeopleSoft, las medidas inmediatas deben ser:

  1. Aplicar el parche oficial: Oracle publicó el aviso de seguridad el 10 de junio. Es imperativo descargar y aplicar la actualización correspondiente a su versión de PeopleTools a través de My Oracle Support.
  2. Restringir el acceso al Hub: Deshabilitar el servicio Environment Management Hub o, en su defecto, bloquear el acceso externo a los endpoints /PSEMHUB/* y /PSIGW/HttpListeningConnector en el perímetro de la red.
  3. Búsqueda de amenazas (Threat Hunting): Revisar los registros de acceso de WebLogic en busca de solicitudes POST inusuales hacia los endpoints mencionados y verificar la existencia de archivos .jsp inesperados en los directorios de la aplicación.
  4. Revisión de persistencia: Inspeccionar cambios recientes en archivos .xml bajo la raíz del documento web, que podrían haber sido manipulados para ejecutar código tras un reinicio del sistema.

Conclusión

Este incidente demuestra un salto cualitativo en las tácticas de ShinyHunters, pasando de ataques de ingeniería social y robo de tokens a la explotación de vulnerabilidades complejas en software on-premises. La seguridad de los sistemas ERP no puede ser una tarea reactiva; requiere una vigilancia constante y una arquitectura de red que limite la exposición de componentes críticos a la red pública.

Fuentes