CISA identifie une faille critique Oracle PeopleSoft exploitée par ShinyHunters
Les équipes de sécurité se précipitent pour corriger une faille critique d'exécution de code à distance dans Oracle PeopleSoft, exploitée par des attaquants pendant près de deux semaines avant qu'un correctif ne soit disponible. L'Agence américaine de cybersécurité et d'infrastructure (CISA) a ajouté cette vulnérabilité, référencée sous le code CVE-2026-35273 avec un score CVSS de 9,8, à son catalogue des vulnérabilités exploitées, signalant une utilisation active en conditions réelles.
Une fenêtre d'opportunité en zero-day
La faille réside dans le composant de gestion des environnements de la plateforme PeopleTools d'Oracle PeopleSoft. Elle permet une exécution de code à distance non authentifiée, sans interaction de l'utilisateur – seul un accès réseau au point d'entrée de la gestion des environnements est nécessaire. Des attaquants liés au groupe ShinyHunters ont exploité cette faille entre le 27 mai et le 9 juin 2026, avant qu'Oracle ne publie son avis le 10 juin. Durant cette période, la faille a fonctionné en tant que zero-day, laissant les organisations sans guide officiel ni correctif.
Les universités dans le viseur
Selon les renseignements sur les menaces de Mandiant et du groupe de renseignement sur les menaces de Google, 68 % des plus de 100 organisations compromises étaient des universités et établissements d'enseignement supérieur, principalement aux États-Unis. Les attaquants ont déployé des malwares personnalisés déguisés en services Microsoft Azure, exploitant des outils open source de gestion à distance comme MeshCentral pour se fondre dans le trafic administratif normal. Leur infrastructure de staging, révélée par le chercheur @nahamike01, a exposé des journaux de commandes détaillés retraçant l'intégralité de la chronologie opérationnelle, de l'accès initial aux actions post-exploitation.
Action immédiate requise
Oracle a confirmé que les versions 8.61 et 8.62 de PeopleTools sont concernées, et les versions antérieures non supportées le sont probablement aussi. L'ajout de cette faille au catalogue KEV par la CISA impose aux agences fédérales de la corriger avant le 1er juillet 2026, conformément aux directives opérationnelles contraignantes. Les équipes de sécurité doivent prioriser la correction et examiner les points d'entrée de la gestion des environnements pour détecter d'éventuels signes de compromission, car les tactiques des attaquants démontrent à quel point les groupes opportunistes peuvent rapidement militariser des failles de criticité élevée.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.