Une faille critique de PeopleSoft est déjà exploitée à grande échelle
Une ancienne faille zero-day dans le logiciel PeopleSoft d’Oracle est utilisée dans des attaques réelles contre un large éventail d’organisations, selon Ars Technica, qui cite Google Mandiant et Oracle. La vulnérabilité, CVE-2026-35273, est notée 9,8 sur 10 et décrite comme une faille de type server-side request forgery exploitable à distance.
Le plus alarmant est le calendrier. Mandiant affirme que le groupe lié au ransomware ShinyHunters exploitait la faille depuis le 27 mai, soit plus de deux semaines avant qu’Oracle ne la signale. Oracle a publié une mesure d’atténuation provisoire, mais n’avait pas encore entièrement corrigé la vulnérabilité au moment du reportage.
Qui a été touché
Mandiant a indiqué que les attaquants avaient visé environ 300 points d’accès appartenant à quelque 100 organisations. Environ 68 % de ces organisations se trouvaient dans l’enseignement supérieur. L’université de Nottingham a confirmé avoir subi un piratage ayant mis une quantité importante de données étudiantes entre les mains d’un acteur de la menace, après que ShinyHunters a affirmé que l’université faisait partie des victimes et publié des gigaoctets de données qu’il disait avoir volées.
Google a également confirmé que les victimes reçoivent des demandes d’extorsion. L’incident passe ainsi d’une exposition théorique à une campagne de pression bien réelle, avec des organisations compromises confrontées à des risques opérationnels et à des dommages réputationnels.
Pourquoi cette faille est si dangereuse
Oracle et Mandiant qualifient le problème de vulnérabilité SSRF. En pratique, cela signifie que les attaquants peuvent envoyer des requêtes depuis un serveur vulnérable vers des systèmes internes utilisés par l’organisation cible. Dans les environnements logiciels d’entreprise, cela peut transformer un service exposé en voie d’exploration plus large et d’accès ultérieur.
Le reportage indique que l’analyse d’un script bash laissé sur un serveur de staging a montré que les attaquants menaient des opérations de reconnaissance sur les organisations compromises. Cela comprenait la cartographie de configurations PeopleSoft et la consultation des configurations XML de Process Scheduler et de serveurs WebLogic. Ces détails comptent, car ils suggèrent que les attaquants ne se contentaient pas de prouver l’accès, mais apprenaient la structure interne de l’environnement victime.
Mandiant a aussi indiqué que les attaquants avaient établi une connexion SSH sortante vers une adresse IP externe hébergeant leur infrastructure de staging. Cela correspond à une campagne conçue pour passer rapidement de l’accès à l’exfiltration.
Pourquoi l’enseignement supérieur domine la liste des victimes
L’article indique qu’environ 68 % des organisations touchées relevaient de l’enseignement supérieur. La source fournie n’explique pas pourquoi ce secteur est si fortement représenté, mais le schéma reste remarquable. Les universités gèrent souvent de vastes systèmes informatiques décentralisés et détiennent d’importants volumes de données personnelles, financières et de recherche, ce qui peut en faire des cibles attractives lorsqu’une plateforme d’entreprise largement déployée est exposée.
Pour les défenseurs, l’important n’est pas tant la motivation que la fenêtre temporelle. Si l’exploitation a commencé le 27 mai et que l’alerte publique est arrivée plus de deux semaines plus tard, de nombreuses organisations ont peut-être fonctionné sans savoir qu’elles étaient déjà compromises.
Atténuer n’est pas corriger
La mesure d’atténuation provisoire publiée par Oracle est importante, mais ce n’est pas un correctif complet. Cette distinction doit guider les décisions de réponse à incident. Les organisations exploitant des déploiements PeopleSoft exposés doivent traiter cela comme un scénario potentiel de compromission, et non comme une simple tâche de maintenance.
La présence d’extorsion, de données publiées et d’indices d’activité manuelle fait monter les enjeux. Dans ce type de situation, les équipes doivent supposer que l’exploitation a peut-être déjà eu lieu et enquêter en conséquence, surtout si leurs environnements étaient accessibles depuis Internet pendant la fenêtre d’abus signalée.
La leçon plus large
L’affaire PeopleSoft montre à quelle vitesse une faille logicielle d’entreprise de gravité élevée peut se transformer en affaire d’extorsion lorsque les attaquants sont déjà en mouvement avant la divulgation. Elle met aussi en lumière un problème persistant de la sécurité d’entreprise : au moment où certaines organisations apprennent l’existence d’une vulnérabilité critique, les attaquants ont peut-être déjà passé des jours ou des semaines dans des environnements comparables.
Pour les institutions touchées, la question immédiate est le confinement. Pour le reste du marché, la leçon est plus nette : une faille notée 9,8 dans un logiciel métier central n’est pas seulement un problème de correctif lorsque l’exploitation active, le vol de données et les tactiques de pression sont déjà en cours.
- CVE-2026-35273 est une faille SSRF de PeopleSoft exploitable à distance, notée 9,8.
- Mandiant affirme que ShinyHunters l’exploitait depuis le 27 mai, avant l’alerte d’Oracle.
- Environ 100 organisations et quelque 300 points d’accès auraient été visés.
- Oracle a publié une mesure d’atténuation, mais le rapport indiquait qu’un correctif complet était encore attendu.
Cet article s’appuie sur un reportage d’Ars Technica. Lire l’article original.
Originally published on arstechnica.com
