Grupo ShinyHunters explora falha crítica em sistemas da Oracle
Vulnerabilidade no Oracle PeopleSoft permitiu controle de servidores e extorsões em diversos setores globais entre maio e junho.
Pontos principais
- A falha CVE-2026-35273 possui nota de gravidade 9.8 e dispensa autenticação.
- O ataque utiliza técnica de SSRF para simular acesso local aos servidores.
- Instituições de ensino, saúde, tecnologia e transporte foram afetadas.
- A Oracle lançou correção de emergência para as versões 8.61 e 8.62 em junho.
- Especialistas reforçam que firewalls não substituem a atualização oficial.
O grupo de criminosos cibernéticos ShinyHunters explorou uma vulnerabilidade crítica no sistema Oracle PeopleSoft para obter controle total de servidores e realizar extorsões. A falha, catalogada como CVE-2026-35273, utiliza uma técnica de falsificação de solicitações, conhecida como SSRF, para enganar o sistema e simular um acesso local sem a necessidade de autenticação prévia. A campanha de ataques ocorreu entre os meses de maio e junho, atingindo redes globais de tecnologia, transporte, saúde e instituições de ensino.
Em resposta à ameaça, a Oracle disponibilizou uma atualização de emergência em junho para as versões 8.61 e 8.62 do PeopleTools. Especialistas da Mandiant e do ZDI alertam que a aplicação do patch é indispensável para a segurança dos ambientes, ressaltando que o uso de firewalls não é suficiente para mitigar os riscos associados a essa vulnerabilidade específica.