ShinyHunters: criminosos abusaram de três falhas em ataque inédito a Oracle

Uma falha de segurança descoberta no sistema Oracle PeopleSoft e explorada pelo grupo conhecido como ShinyHunters resulta, na verdade, da união de três vulnerabilidades diferentes , conforme explicou Bobby Gould, pesquisador do Zero Day Initiative (ZDI).

A brecha foi identificada como “ CVE-2026-35273 ?, conta com pontuação máxima de gravidade de 9.8 e permite que invasores tomem o controle de servidores afetados sem precisar de senha ou login.

A vulnerabilidade principal começa quando um recurso de integração do sistema aceita endereços externos sem checagem adequada e permite que criminosos redirecionem o tráfego para a máquina interna do servidor, de acordo com o relatório técnico publicado nesta terça-feira (27) pela ZDI.

Como o sistema confia no endereço local por padrão, a barreira de proteção falha e abre caminho para a execução de códigos maliciosos.

Em documentos oficiais, a Mandiant e a Google Threat Intelligence Group revelaram que a campanha de exploração ocorreu entre maio e junho, atingindo inicialmente instituições de ensino superior.

Posteriormente, o alvo se expandiu para dezenas de redes globais de tecnologia, saúde e transporte.

Os invasores utilizaram táticas como o desvio de regras de segurança por meio de codificação de caracteres e instalaram ferramentas de acesso remoto para roubar dados e aplicar extorsões.

A equipe de pesquisa do Google avaliou que a campanha demonstra a capacidade de adaptação dos invasores, sobretudo ao destacar que “o grupo modificou seu método para contornar bloqueios de segurança e atingir sistemas cujos operadores confiavam apenas em regras básicas de firewall”.

O esquema detalha como a falha crítica CVE-2026-35273 no Oracle PeopleSoft une três vulnerabilidades diferentes.

A exploração começa quando ataques externos ignoram barreiras via falsificação de solicitações (SSRF), enganando o sistema ao simular um acesso local (loopback).

Foto: Reprodução/ZDI A Oracle lançou uma atualização de emergência em junho de para resolver a falha nos softwares PeopleSoft Enterprise PeopleTools versões 8.61 e 8.62 .

Pesquisadores do ZDI e analistas da Mandiant reforçam que a instalação imediata do pacote de correção é indispensável.

Paralelamente, a Mandiant enfatizou, em diretrizes do portal oficial , que “regras de bloqueio em firewalls de aplicação web não substituem a necessidade urgente de aplicar a correção oficial disponibilizada pela fabricante”.

Siga o TecMundo no X , Instagram , Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.