Een kritieke zero-day kwetsbaarheid, geïdentificeerd als CVE-2026-35273, is ontdekt in Oracle PeopleSoft PeopleTools, een softwarecomponent die wordt gebruikt voor human resources en customer relationship management. Deze kwetsbaarheid stelt niet-geauthenticeerde aanvallers in staat om op afstand willekeurige code uit te voeren en servers over te nemen.

Aanvallen die misbruik maken van deze kwetsbaarheid zijn waargenomen sinds ten minste 27 mei. De groep cybercriminelen die wordt geassocieerd met ShinyHunters, is verantwoordelijk voor deze acties. ShinyHunters heeft beweerd meer dan 100 organisaties te hebben gehackt en is op dinsdag begonnen met het publiceren van namen van slachtoffers en gestolen data. Meer dan 100 organisaties zijn mogelijk getroffen, waarvan de meerderheid zich in de Verenigde Staten bevindt.

De onderwijssector is het zwaarst getroffen, met 68% van de potentiële slachtoffers binnen deze sector. Dit is niet de eerste keer dat ShinyHunters dit jaar specifiek de onderwijssector aanvalt. De Universiteit van Nottingham heeft bevestigd dat een aanzienlijke hoeveelheid studentendata is gestolen, na de publicatie ervan door ShinyHunters op woensdag.

Mandiant en de Google Threat Intelligence Group werden eerder deze maand op de hoogte gesteld van de aanvallen. Google heeft meer dan 100 organisaties gewaarschuwd voor potentieel kwetsbare eindpunten. ShinyHunters is momenteel nog steeds bezig met afpersingspogingen.

Oracle heeft op woensdag de kwetsbaarheid publiek gemaakt en aanbevelingen gedaan voor mitigatie. Op dit moment heeft Oracle nog geen patch uitgebracht om het defect te verhelpen. Deze reeks aanvallen vindt plaats minder dan een jaar nadat een andere zero-day kwetsbaarheid in Oracle E-Business Suite werd uitgebuit door de Clop ransomware-groep.