Grupo ShinyHunters explora três falhas em ataque inédito contra a Oracle

Uma grave falha de segurança detectada no software Oracle PeopleSoft e ativamente explorada pela facção criminosa ShinyHunters decorre, na verdade, da combinação de três vulnerabilidades distintas, conforme detalhado por Bobby Gould, pesquisador do Zero Day Initiative (ZDI). Catalogada sob o identificador “CVE-2026-35273″, a brecha ostenta pontuação máxima de gravidade de 9.8 e viabiliza que invasores assumam o pleno controle de servidores atingidos dispensando qualquer tipo de senha ou credencial de login.

A dinâmica da invasão e os alvos atingidos

O vetor principal de exploração tem início quando uma ferramenta nativa de integração do sistema aceita links externos sem validação rigorosa, possibilitando que hackers desviem o fluxo de dados diretamente para a estrutura interna do servidor, conforme apontou o boletim técnico divulgado nesta terça-feira (27) pelo ZDI. Visto que a plataforma confia intrinsecamente no endereço local, o mecanismo de defesa desmorona, abrindo brechas para a injeção e execução arbitrária de códigos maliciosos.

Em relatórios oficiais, o Google Threat Intelligence Group e a Mandiant constataram que a ofensiva cibernética ocorreu entre os meses de maio e junho, tendo como alvo primário universidades e faculdades. Em seguida, a operação maliciosa escalou para dezenas de redes corporativas ao redor do mundo nos setores de tecnologia, saúde e transportes. Os criminosos recorreram a estratégias como a adulteração de regras defensivas por meio de codificação de caracteres, além de implantarem utilitários de acesso remoto com o propósito de furtar informações sigilosas e chantagear vítimas.

A análise do Google indicou que a ofensiva evidencia o alto grau de adaptabilidade dos operadores mal-intencionados, destacando especificamente que “o grupo modificou seu método para contornar bloqueios de segurança e atingir sistemas cujos operadores confiavam apenas em regras básicas de firewall”.

Correções e recomendações urgentes

A arquitetura da brecha mostra como a falha crítica CVE-2026-35273 no Oracle PeopleSoft mescla três pontos fracos operacionais. O ataque ganha tração inicial quando agentes externos contornam defesas via falsificação de solicitações (SSRF), induzindo o software a erro ao simular uma requisição interna (loopback).

Para mitigar a situação, a Oracle liberou um patch de emergência em junho voltado para sanar o problema nas versões 8.61 e 8.62 do PeopleSoft Enterprise PeopleTools. Especialistas do ZDI e analistas da Mandiant sublinham que a aplicação imediata do pacote corretivo é absolutamente mandatória.

Sobre o caso, pesquisadores do ZDI pontuaram que “essa única falha permitiu que os invasores combinassem vulnerabilidades para burlar verificações de segurança e comprometer instâncias do PeopleSoft”.

No mesmo sentido, a Mandiant destacou, por meio de orientações publicadas em seu canal oficial, que “regras de bloqueio em firewalls de aplicação web não substituem a necessidade urgente de aplicar a correção oficial disponibilizada pela fabricante”.