Faille zero-day d'Oracle PeopleSoft PeopleTools exploitée par ShinyHunters (CVE-2026-35273)

Le 10 juin 2026, Oracle a publié une alerte de sécurité d'urgence, hors de son calendrier habituel, pour CVE-2026-35273, une faille zero-day critique du composant Environment Management (PSEMHUB) d'Oracle PeopleSoft Enterprise PeopleTools. La faille était déjà exploitée depuis près de deux semaines par le groupe d'extorsion de données ShinyHunters — suivi par Mandiant (Google) sous le nom UNC6240 — pour s'introduire dans plus de 100 organisations et en voler les données.

Ce qui s'est passé

CVE-2026-35273 affiche un score CVSS v3.1 de 9,8 et un vecteur (AV:N/AC:L/PR:N/UI:N) décrivant une faille qu'un attaquant non authentifié peut exploiter à distance sur le réseau sans interaction de l'utilisateur, aboutissant à l'exécution de code à distance. Elle touche PeopleSoft Enterprise PeopleTools 8.61 et 8.62. Comme le bogue réside dans un composant de gestion exposé sur Internet, une seule requête non authentifiée suffisait à donner aux attaquants l'exécution de code sur les serveurs exposés.

Mandiant a indiqué que l'exploitation s'est déroulée du 27 mai 2026 au 9 juin 2026 — avant l'existence de l'avis d'Oracle, ce qui en fait une véritable faille zero-day. Après avoir pris pied, les attaquants ont cartographié les configurations PeopleSoft et la topologie du réseau interne, se sont déplacés latéralement à l'aide d'un script de propagation sur mesure et de pulvérisation d'identifiants SSH, ont déposé des fichiers marqueurs d'extorsion (README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT) et ont exfiltré des données compressées avec zstd. Les jeux de données volés ont commencé à apparaître sur le site de fuite de ShinyHunters le 9 juin.

Impact

• Une faille zero-day critique (CVSS 9,8) d'exécution de code à distance sans authentification dans PeopleTools 8.61 et 8.62.
• Plus de 100 organisations notifiées par Mandiant, la majorité situées aux États-Unis.
• 68 % des organisations touchées relevaient de l'enseignement supérieur — universités et établissements qui utilisent PeopleSoft pour leurs systèmes étudiants, RH et financiers.
• Vol de données confirmé et publication sur le site de fuite, plutôt qu'un rançongiciel chiffrant les fichiers.
• Oracle a diffusé un correctif et exhorté ses clients à l'appliquer immédiatement et à vérifier toute compromission de leurs instances PeopleSoft exposées.

Pourquoi c'est important

PeopleSoft est l'épine dorsale administrative d'une large part des universités et des grandes entreprises du monde, hébergeant dossiers étudiants, paie et données financières — précisément les données personnelles en masse qu'un groupe d'extorsion peut monétiser. Cette campagne illustre une nouvelle fois le basculement de ShinyHunters vers l'exploitation de masse d'une seule faille zero-day de logiciel d'entreprise, faisant écho à ses précédentes vagues de vol de données via Salesforce et SharePoint. La leçon est connue : un composant de gestion exposé sur Internet exécutant un chemin de code non authentifié est une invitation permanente, et le délai entre la première exploitation et l'avis de l'éditeur — ici environ deux semaines — suffit amplement à vider une base de données.