PeopleSoft se convierte en vía de extorsión contra universidades

Mandiant y Google Threat Intelligence Group vincularon a UNC6240, asociado con la marca ShinyHunters, una campaña de compromiso y extorsión contra Oracle PeopleSoft. La actividad observada entre el 27 de mayo y el 9 de junio de 2026 fue consistente con explotación de CVE-2026-35273 antes de la publicación del aviso del fabricante.

La campaña se concentró de forma desproporcionada en educación superior. Los atacantes utilizaron infraestructura de administración remota camuflada, reconocimiento interno y mecanismos de propagación antes de la publicación de datos robados.

• Exposición externa de componentes administrativos de PeopleSoft.
• Solicitudes hacia PSEMHUB o conectores de integración desde orígenes no confiables.
• Agentes de administración remota no aprobados en servidores de aplicación.
• Archivos JSP, directorios temporales o transferencias SMB salientes inesperadas.

Deshabilita o restringe los componentes indicados por Oracle y Mandiant, aplica actualizaciones soportadas y revisa registros web, filesystem y tráfico saliente. Una corrección aplicada después del periodo de explotación no sustituye la investigación histórica.

Fuente: ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit, publicada por Mandiant el 11 de junio de 2026. La concentración sectorial corresponde a las organizaciones observadas y notificadas en esa investigación.