ShinyHunters heeft opnieuw een golf van aanvallen gelanceerd op Oracle PeopleSoft-servers, waarbij ze een verrassend eenvoudige manier hebben gevonden om de verdedigingsorganisaties te omzeilen die werden ingezet nadat de groep eerder dit jaar een kritieke kwetsbaarheid begon te exploiteren.
Google’s Mandiant and Threat Intelligence Group hebben hernieuwde massale exploitatie van CVE-2026-35273 waargenomen, een kritieke PeopleSoft-kwetsbaarheid die aanvallers toestaat code op afstand uit te voeren zonder authenticatie. ShinyHunters, door Google getraceerd als UNC6240, maakte oorspronkelijk gebruik van de fout als een zero-day tussen eind mei en begin juni.
Oracle bracht in juni een noodbeveiligingsupdate uit. Organisaties die niet direct konden patchen, werden geadviseerd externe toegang tot het kwetsbare PSEMHUB-component te blokkeren via webapplicatiefirewalls. ShinyHunters heeft zijn verzoeken nu aangepast om enkele van die regels te omzeilen.
In plaats van het normale kwetsbare pad aan te vragen, coderen de aanvallers één enkel teken in de URL. Sommige firewalls controleren het verzoek voordat ze het decoderen en herkennen daarom het geblokkeerde pad niet, terwijl PeopleSoft later het adres decodeert en het verzoek naar de kwetsbare component stuurt.
De techniek heeft ShinyHunters in staat gesteld om aanvallen op systemen te hervatten waarbij beheerders vertrouwden op firewallregels in plaats van de beveiligingsupdate van Oracle te installeren. Google heeft compromissen waargenomen op het gebied van hoger onderwijs, technologie, IT-diensten, gezondheidszorg, landbouw, transport en overheidsorganisaties.
Na toegang hebben de aanvallers webshells geïnstalleerd die op afstand controle bieden over gecompromitteerde servers. Google zag ook tunnelingtools en de legitieme MeshAgent remote management software die werden ingezet om de toegang te behouden. In sommige incidenten werden commando’s uitgevoerd met root- of SYSTEM-privileges, wat volledige controle over het getroffen besturingssysteem gaf.
Google zegt dat het meer dan 100 organisaties wereldwijd heeft geïnformeerd over activiteiten die verband houden met de hernieuwde campagne.
De bevindingen komen kort nadat ShinyHunters de verantwoordelijkheid opeist voor ongeautoriseerde activiteiten met betrekking tot de wervingswebsite van de FBI. De groep zegt dat ze via PeopleSoft toegang hebben gehad tot FBI-systemen en terabytes aan informatie over werknemers en sollicitanten hebben gestolen.
De FBI heeft bevestigd dat het ongeautoriseerde activiteiten onderzoekt die FBIjobs.gov beïnvloeden, maar heeft de bredere beweringen van ShinyHunters over gestolen data of toegang tot interne systemen niet bevestigd. De groep beweert ook dat zij tijdens het FBI-incident een extra onbekende kwetsbaarheid in dezelfde PeopleSoft-component heeft uitgebuit.