Uma falha crítica do PeopleSoft já está sendo explorada em escala
Uma antiga vulnerabilidade de zero-day no software PeopleSoft da Oracle está sendo usada em ataques reais contra um amplo conjunto de organizações, segundo a Ars Technica, citando Google Mandiant e Oracle. A vulnerabilidade, CVE-2026-35273, tem severidade 9,8 de 10 e é descrita como uma falha de server-side request forgery explorável remotamente.
O que mais preocupa é a cronologia. A Mandiant diz que o grupo ligado a ransomware ShinyHunters vinha explorando a falha desde 27 de maio, mais de duas semanas antes de a Oracle divulgá-la. A Oracle emitiu uma mitigação provisória, mas ainda não havia corrigido totalmente a vulnerabilidade no momento da reportagem.
Quem foi atingido
A Mandiant afirmou que os atacantes miraram cerca de 300 endpoints pertencentes a cerca de 100 organizações. Aproximadamente 68% dessas organizações eram da educação superior. A Universidade de Nottingham confirmou ter sofrido um ataque que colocou uma quantidade significativa de dados de estudantes nas mãos de um agente de ameaça, depois que o ShinyHunters alegou que a universidade era uma vítima e publicou gigabytes de dados que disse ter roubado.
O Google também confirmou que as vítimas estão recebendo exigências de extorsão. Isso tira o incidente do campo da exposição teórica e o coloca em uma campanha de pressão em andamento, com organizações comprometidas enfrentando tanto risco operacional quanto dano reputacional.
Por que essa falha é tão perigosa
A Oracle e a Mandiant classificam o problema como uma vulnerabilidade SSRF. Na prática, isso significa que os atacantes podem enviar requisições de um servidor vulnerável para sistemas internos usados pela organização-alvo. Em ambientes de software corporativo, isso pode transformar um serviço exposto em uma rota para reconhecimento mais amplo e acesso posterior.
A reportagem diz que a análise de um script bash deixado em um servidor de staging mostrou os atacantes realizando reconhecimento nas organizações comprometidas. Isso incluiu mapear configurações do PeopleSoft e visualizar configurações XML do Process Scheduler e de servidores WebLogic. Esses detalhes importam porque sugerem que os atacantes não estavam apenas testando acesso, mas aprendendo a estrutura interna do ambiente da vítima.
A Mandiant também disse que os atacantes estabeleceram uma conexão SSH de saída para um IP externo que hospedava sua infraestrutura de staging. Isso é coerente com uma campanha projetada para passar rapidamente do acesso à exfiltração.
Por que o ensino superior domina a lista de vítimas
O artigo diz que cerca de 68% das organizações afetadas eram da educação superior. A fonte fornecida não explica por que esse setor é tão representado, mas o padrão ainda é notável. Universidades costumam operar ambientes de TI grandes e descentralizados e armazenar volumes substanciais de dados pessoais, financeiros e de pesquisa, o que pode torná-las alvos atraentes quando uma plataforma corporativa amplamente implantada fica exposta.
Para os defensores, o mais importante não é a motivação, mas a janela de tempo. Se a exploração começou em 27 de maio e o aviso público veio mais de duas semanas depois, muitas organizações podem ter estado sob comprometimento ativo sem saber.
Mitigação não é encerramento
A mitigação provisória emitida pela Oracle é importante, mas não é o mesmo que uma correção completa. Essa distinção deve orientar as decisões de resposta a incidentes. Organizações que operam implantações expostas do PeopleSoft devem tratar isso como um possível cenário de violação, e não como uma tarefa rotineira de atualização.
A presença de extorsão, dados publicados e evidências de atividade manual eleva o nível de risco. Em situações como essa, as equipes precisam assumir que a exploração talvez já tenha ocorrido e investigar de acordo, especialmente se seus ambientes estavam expostos à internet durante a janela de abuso reportada.
A lição mais ampla
O caso PeopleSoft mostra como uma vulnerabilidade grave em software corporativo pode rapidamente se transformar em um evento de extorsão quando os atacantes já estão em movimento antes da divulgação. Ele também destaca um problema persistente em segurança corporativa: quando algumas organizações descobrem que existe uma vulnerabilidade crítica, os atacantes já podem ter passado dias ou semanas dentro de ambientes semelhantes.
Para as instituições afetadas, a pergunta imediata é contenção. Para o restante do mercado, a lição é mais dura: uma falha avaliada em 9,8 em software corporativo central não é apenas uma questão de atualização quando exploração ativa, roubo de dados e táticas de pressão já estão em andamento.
- CVE-2026-35273 é uma falha SSRF do PeopleSoft explorável remotamente, classificada como 9,8.
- A Mandiant diz que o ShinyHunters a explorou desde 27 de maio, antes da divulgação da Oracle.
- Cerca de 100 organizações e aproximadamente 300 endpoints teriam sido visados.
- A Oracle emitiu uma mitigação, mas o relatório dizia que um patch completo ainda não havia chegado.
Este artigo é baseado na reportagem da Ars Technica. Leia o artigo original.
Originally published on arstechnica.com