ShinyHunters ha operato per due settimane nell'ombra di un bug zero-day in Oracle PeopleSoft Enterprise PeopleTools, sfruttando CVE-2026-35273 prima che Oracle pubblicasse l'advisory di sicurezza del 10 giugno 2026. Il gruppo, tracciato come UNC6240 da Mandiant/Google, ha colpito oltre 100 organizzazioni con endpoint esposti, con una concentrazione del 68% nel settore higher education. La campagna ha lasciato tracce tecniche concrete: server di staging con .bash_history esposto, agenti MeshCentral camuffati da servizi Azure e script di credential-spraying per il movimento laterale.
- CVE-2026-35273 è una RCE non autenticata con CVSS 9.8 che colpisce Oracle PeopleSoft Enterprise PeopleTools versioni 8.61 e 8.62, secondo il record ufficiale NVD.
- L'exploitation attiva si è svolta dal 27 maggio al 9 giugno 2026, anticipando l'advisory Oracle del 10 giugno: Google Threat Intelligence Group/Mandiant conferma che si tratta di zero-day.
- Mandiant ha notificato direttamente oltre 100 organizzazioni con endpoint vulnerabili esposti; il 68% appartiene al settore higher education.
- L'Università di Nottingham ha confermato una violazione che ha interessato 454.600 studenti attuali e passati, con dati che includono dettagli di contatto, numeri di passaporto, informazioni di immatricolazione e record di pagamento delle tasse.
La vulnerabilità: un ingresso senza chiave nel cuore di PeopleSoft
Il record ufficiale NVD per CVE-2026-35273 assegna un punteggio CVSS 3.1 di 9.8, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Il bug risiede nel componente Environment Management Hub (PSEMHUB) di PeopleSoft Enterprise PeopleTools: endpoint HTTP che mancano di autenticazione per funzioni critiche, classificate sotto CWE-306.
Questa configurazione permette a un attaccante remoto di eseguire codice arbitrario tramite richieste POST craftate, senza necessità di credenziali valide. Le versioni ufficialmente interessate sono la 8.61 e la 8.62. Il brief non conferma l'exploitabilità di versioni precedenti non supportate; una fonte aggregatrice riporta che Oracle considera "probabile" l'impatto anche su release precedenti, ma questa indicazione non è verificata nel dossier primario.
La catena d'attacco: da PSEMHUB a MeshCentral, la firma di Mandiant
L'analisi tecnica del Google Threat Intelligence Group, basata su infrastruttura attaccante esposta, ricostruisce la catena d'azione con precisione forense. Dopo lo sfruttamento iniziale di PSEMHUB, gli operatori hanno distribuito agenti MeshCentral — uno strumento legittimo di remote management — con nomi di file appositamente modificati: meshagent32-azure-ops.exe e meshagent64-azure-ops.exe. Questi agenti comunicavano con un server di comando e controllo all'indirizzo wss://azurenetfiles.net:443/agent.ashx, impersonando servizi Microsoft Azure per mimetizzarsi nel traffico aziendale.
Il movimento laterale avveniva tramite uno script SSH denominato [vittima]_fanout.sh, che eseguiva credential-spraying contro host interni elencati in /etc/hosts. Su un server di staging compromesso, gli analisti di Mandiant hanno recuperato il file README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT, marcatore di defacement ed estorsione che conferma l'attività di ShinyHunters. Il gruppo opera secondo un modello di data-theft extortion, senza cifratura dei sistemi compromessi.
Il target education: perché le università sono nel mirino
La distribuzione settoriale delle vittime notificate rivela un pattern deliberato. Il 68% delle oltre 100 organizzazioni contattate da Mandiant appartiene all'higher education: un ecosistema IT caratterizzato da decentralizzazione amministrativa, budget eterogenei tra dipartimenti e presenza massiccia di legacy system esposti a Internet per necessità di accesso remoto studenti e personale.
L'Università di Nottingham rappresenta l'unica vittima pubblicamente confermata con dettaglio quantitativo: 454.600 studenti attuali e passati coinvolti, con esposizione di dati personali e amministrativi. Il brief non documenta ulteriori conferme ufficiali; nomi come Kodak, Amazon One Medical e Council of Europe appaiono in una sola fonte aggregatrice, senza corroborazione indipendente nel dossier primario.
"Because this activity predates Oracle's June 10, 2026 advisory, the vulnerability was exploited as a zero-day."
— Google Threat Intelligence Group/Mandiant
La risposta istituzionale: CISA e la compressione dei tempi
CISA ha inserito CVE-2026-35273 nel Known Exploited Vulnerabilities Catalog il 12 giugno 2026, con scadenza per l'applicazione delle mitigazioni fissata al 15 giugno 2026 in base al Binding Operational Directive 26-04. Il catalogo segnala esplicitamente che la vulnerabilità è "Known To Be Used in Ransomware Campaigns". La finestra temporale di 72 ore tra inserimento in KEV e scadenza di compliance è eccezionalmente compressa, riflettendo la gravità percepita dall'agenzia federale.
Oracle ha pubblicato un security alert fuori ciclo il 10 giugno 2026, accreditando Trend ZDI/Trend Research per la segnalazione della vulnerabilità. Secondo una fonte aggregatrice, il documento di patch sarebbe riservato agli account di supporto Oracle, con disponibilità effettiva non chiaramente documentata nel dossier primario. Il brief non conferma se l'exploitation sia proseguita successivamente alla pubblicazione dell'advisory.
Cosa fare adesso
Le raccomandazioni operative emergono direttamente dai dati tecnici documentati nel dossier:
- Isolare gli endpoint PSEMHUB esposti a Internet. Mandiant ha identificato questi endpoint come condizione necessaria dell'exploitation: la loro esposizione pubblica rappresenta il vettore d'ingresso verificato.
- Ricercare indicatori di MeshCentral camuffati. I file meshagent32-azure-ops.exe e meshagent64-azure-ops.exe, con connessioni a azurenetfiles.net, costituiscono artefatti di compromissione documentati.
- Analizzare script [nome]_fanout.sh in /etc/hosts. Questo meccanismo di movimento laterale via SSH credential-spraying è confermato nell'analisi forense di Mandiant.
- Verificare la presenza del file README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT. Il suo rilevamento indica compromissione conclusa e marcatura per estorsione da parte di ShinyHunters.
Il senso della campagna: ERP come nuova superficie d'attacco
La campagna CVE-2026-35273 segna un punto di svolta nel modus operandi di ShinyHunters, storicamente associato al furto di credenziali SaaS. Il passaggio all'exploitation di zero-day in software ERP enterprise — spesso mantenuto con risorse limitate, percepito come "troppo noioso per essere attaccato" — allarga significativamente la superficie di rischio per organizzazioni che non hanno prioritizzato la segmentazione di sistemi legacy.
L'higher education, con il suo modello IT decentralizzato e la pressione di servizi sempre accessibili, si è rivelato il terreno di prova ideale per questa industrializzazione del targeting. Non è la sofisticazione del bug a fare la differenza — una RCE non autenticata su endpoint esposti è un classico — ma la velocità con cui un gruppo criminale ha convertito la conoscenza della vulnerabilità in compromissioni su scala prima che il vendor reagisse.
Fonti
- https://www.cybersecurity-insiders.com/threat-intelligence-shinyhunters-langgraph-patch-tuesday-june-2026/
- https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit
- https://tech-insider.org/shinyhunters-oracle-peoplesoft-breach-2026/
- https://www.rescana.com/post/shinyhunters-exploits-oracle-peoplesoft-zero-day-cve-2026-35273-in-widespread-higher-education-cyberattack
- https://nvd.nist.gov/vuln/detail/CVE-2026-35273
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-35273
- https://www.bleepingcomputer.com/
- https://thehackernews.com/2026/06/shinyhunters-exploits-oracle-peoplesoft.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.