Une vulnérabilité critique de type « zero-day », identifiée sous le code CVE-2026-35273, a été découverte dans Oracle PeopleSoft PeopleTools, constituant une menace de sécurité majeure puisqu’elle est actuellement exploitée. Cette faille, qui permet l’exécution de code à distance sans nécessiter d’authentification, affecte les versions 8.61 et 8.62 de PeopleTools, et potentiellement les versions antérieures. Oracle a émis une alerte de sécurité urgente, bien qu’il reste incertain si un correctif est disponible, l’accès au document pertinent étant restreint aux clients disposant de comptes de support.
Dans un développement connexe, le groupe de cyber-extorsion ShinyHunters a revendiqué la responsabilité d’une intrusion dans les serveurs Oracle PeopleSoft, impactant plus de 100 organisations, principalement des établissements d’enseignement. Parmi les entités touchées figure l’Université de Nottingham, qui a reconnu un incident cybernétique impliquant le vol de données personnelles et académiques de près d’un demi-million d’étudiants. Les attaquants auraient exploité une combinaison de vulnérabilités anciennes et de type « zero-day ».
Les enquêtes ont révélé des répertoires exposés et des outils utilisés dans ces attaques, avec des preuves suggérant que les attaquants possèdent une connaissance approfondie des systèmes PeopleSoft. Une liste d’IP et de domaines liés aux attaques a été partagée pour aider les administrateurs PeopleSoft à identifier les compromissions potentielles.
