Une vulnérabilité critique dans l’outil PeopleSoft d’Oracle a été exploitée par le groupe de cyber-extorsion notoire ShinyHunters, affectant plus d’une centaine d’organisations avant qu’une solution ne soit disponible. La faille, identifiée sous le nom de CVE-2026-35273, touche le composant de gestion de l’environnement PeopleSoft et affiche un score de gravité alarmant de 9,8 sur 10. Elle permet de prendre le contrôle à distance d’un serveur vulnérable sans nécessiter d’identifiants ou d’actions de l’utilisateur. Les attaques, survenues entre le 27 mai et le 9 juin, ont principalement visé les universités, 70 % des victimes étant des établissements d’enseignement supérieur. Oracle a publié un avis de sécurité le 10 juin, après que les attaques ont eu lieu. ShinyHunters a exploité cette faille pour infiltrer les systèmes, naviguer dans les réseaux internes et collecter des informations sensibles, laissant des messages d’extorsion sur les serveurs compromis. Plus de 100 organisations ont été touchées, dont 68 % du secteur éducatif, y compris l’Université de Nottingham. La brèche a exposé environ 455 000 adresses électroniques et d’autres données personnelles. Oracle recommande de désactiver les composants affectés ou de restreindre l’accès à Internet pour atténuer les risques. Les experts exhortent les organisations utilisant PeopleSoft à agir rapidement, soulignant la rapidité avec laquelle les groupes criminels peuvent exploiter des vulnérabilités inconnues.
100 universités sont-elles en danger à cause d’une vulnérabilité de PeopleSoft ?
