Oracle ha alertado sobre una vulnerabilidad crítica de día cero (CVE-2026-35273) en PeopleSoft PeopleTools que permite la ejecución remota de código sin autenticación. El fallo, con una puntuación de riesgo de 9.8, está siendo explotado activamente por el grupo ShinyHunters para robar datos de numerosas organizaciones. Oracle ya ha publicado medidas de mitigación urgentes mientras prepara el parche definitivo.



Oracle está advirtiendo sobre una vulnerabilidad crítica de día cero en PeopleSoft Suite, identificada como CVE-2026-35273, que permite la ejecución remota de código sin autenticación, y cuyo fallo está siendo explotado activamente en ataques de robo de datos de ShinyHunter.

El fallo se encuentra en Oracle PeopleSoft PeopleTools y tiene una puntuación base CVSS de 9.8.

"Esta alerta de seguridad aborda la vulnerabilidad CVE-2026-35273 en Oracle PeopleSoft PeopleTools. Los clientes de Oracle PeopleSoft Enterprise Applications también pueden verse afectados por esta vulnerabilidad", indica un nuevo aviso de Oracle.

"Esta vulnerabilidad es explotable remotamente sin autenticación. Si se explota con éxito, esta vulnerabilidad puede dar lugar a la ejecución remota de código".

Oracle ha confirmado que la vulnerabilidad de día cero afecta a PeopleSoft Enterprise PeopleTools, versiones 8.61 y 8.62, y ha publicado mitigaciones de emergencia [enlace] para solucionar el fallo, con un parche que llegará próximamente.

Día cero explotado en ataques de robo de datos de shinyhunter

Aunque Oracle no ha declarado que esta vulnerabilidad esté siendo explotada activamente, su divulgación se produce después de que se informara que la banda de extorsión ShinyHunters estaba explotando una vulnerabilidad de día cero de PeopleSoft para vulnerar instancias y robar datos.

Desde entonces se ha sabido que este es el día cero explotado en los ataques.

Charles Carmakal, CTO de Mandiant - Google Cloud, también confirmó en LinkedIn [enlace] que CVE-2026-35273 está siendo explotada activamente y afirmó que Oracle publicó mitigaciones para el fallo.

El martes se supo que Oracle PeopleSoft fue el objetivo de una ola de ataques de robo de datos que dejaron notas de rescate presuntamente de la banda de extorsión ShinyHunters.

ShinyHunters es un actor de amenazas conocido que suele vulnerar instancias de SaaS en la nube, CRM y plataformas empresariales que albergan grandes volúmenes de datos corporativos. Tras ganar acceso a una instancia, descargan los datos y exigen un rescate para evitar su filtración pública.

El grupo ha sido vinculado a numerosos ataques de alto perfil durante el último año.

ShinyHunters confirmó que están detrás de estos ataques, afirmando utilizar una "cadena de gadgets" de fallos antiguos y de día cero para vulnerar las instancias de PeopleSoft.

Utilizando este fallo, el actor de amenazas presuntamente robó datos de 300 instancias de más de 100 organizaciones.

El investigador de ciberseguridad "Michael R [enlace]" encontró varios directorios expuestos en línea que contenían herramientas relacionadas con el ataque y compartió las siguientes direcciones IP utilizadas en los ataques:

142.11.200[.]186
142.11.200[.]187
142.11.200[.]188
142.11.200[.]189
142.11.200[.]190
108.174.202[.]99
176.120.22[.]24

Si utiliza Oracle PeopleSoft, se recomienda encarecidamente analizar los registros para detectar cualquier conexión desde las direcciones IP anteriores y determinar si fue objetivo de estos ataques.

Se ha contactado a Oracle con preguntas sobre esta vulnerabilidad y los ataques, pero no se ha recibido respuesta.

Fuente:
BleepingComputer