Uma falha de segurança descoberta no sistema Oracle PeopleSoft e explorada pelo grupo conhecido como ShinyHunters resulta, na verdade, da união de três vulnerabilidades diferentes, conforme explicou Bobby Gould, pesquisador do Zero Day Initiative (ZDI). A brecha foi identificada como “CVE-2026-35273?, conta com pontuação máxima de gravidade de 9.8 e permite que invasores tomem o controle de servidores afetados sem precisar de senha ou login.
A vulnerabilidade principal começa quando um recurso de integração do sistema aceita endereços externos sem checagem adequada e permite que criminosos redirecionem o tráfego para a máquina interna do servidor, de acordo com o relatório técnico publicado nesta terça-feira (27) pela ZDI. Como o sistema confia no endereço local por padrão, a barreira de proteção falha e abre caminho para a execução de códigos maliciosos.
Em documentos oficiais, a Mandiant e a Google Threat Intelligence Group revelaram que a campanha de exploração ocorreu entre maio e junho, atingindo inicialmente instituições de ensino superior. Posteriormente, o alvo se expandiu para dezenas de redes globais de tecnologia, saúde e transporte. Os invasores utilizaram táticas como o desvio de regras de segurança por meio de codificação de caracteres e instalaram ferramentas de acesso remoto para roubar dados e aplicar extorsões.
