Por Canuto  

ShinyHunters reanudó una campaña contra sistemas Oracle PeopleSoft vulnerables y, según Mandiant, los atacantes adaptaron sus métodos para sortear filtros de firewall instalados por algunas organizaciones. La actividad alcanzó a decenas de sistemas en distintos países y sectores, mientras el FBI investiga una presunta brecha que el grupo reivindicó. No hay confirmación pública de que esa intrusión al FBI esté vinculada con la vulnerabilidad de PeopleSoft.
***

  • Mandiant reportó una nueva campaña de explotación masiva contra Oracle PeopleSoft; la vulnerabilidad identificada es CVE-2026-35273.
  • Los ataques alcanzaron organizaciones de educación superior, tecnología, salud, agricultura, transporte y gobierno, según Mandiant; la firma no identificó a las víctimas.
  • ShinyHunters afirmó haber vulnerado al FBI. La institución investiga la presunta brecha, pero no se ha confirmado públicamente que esté relacionada con la falla de PeopleSoft.

ShinyHunters vuelve a explotar Oracle PeopleSoft y sortea filtros de firewall

El grupo ShinyHunters reanudó una campaña contra sistemas Oracle PeopleSoft vulnerables y ajustó sus métodos para eludir defensas que algunas organizaciones incorporaron después de incidentes anteriores. Google Cloud, a través de su unidad Mandiant, describió la actividad como una campaña de explotación y extorsión contra instalaciones de PeopleSoft. La vulnerabilidad involucrada es CVE-2026-35273, según el aviso de seguridad de Oracle y el análisis de Mandiant.

Mandiant reportó actividad contra decenas de sistemas en distintos países y sectores. El factor común señalado en la cobertura de la campaña es que las organizaciones afectadas no habían aplicado la corrección de Oracle. La información pública no identifica a las víctimas ni detalla el impacto individual en cada caso.

Una campaña que apunta a sistemas sin corregir

PeopleSoft es un software empresarial que distintas organizaciones utilizan para gestionar recursos humanos y otras operaciones internas. Su uso en funciones importantes puede convertir los sistemas vulnerables en un objetivo atractivo, aunque la información disponible no precisa qué datos o procesos se comprometieron en cada caso.

La campaña actual sigue a una primera oleada de ataques ocurrida entre el 27 de mayo y el 9 de junio, dirigida principalmente a universidades, según la información de la campaña. Después de que se difundieran orientaciones de seguridad sobre esos incidentes, algunas entidades añadieron reglas en sus firewalls de aplicaciones web para bloquear el método conocido. Sin embargo, esas medidas no corregían la vulnerabilidad ni reemplazaban la actualización de Oracle.

Según Mandiant, los atacantes modificaron la forma de acceder a las instalaciones vulnerables y se enfocaron en organizaciones que habían añadido filtros de firewall, pero todavía no habían aplicado el parche. De ese modo, pudieron seguir aprovechando la misma debilidad mediante una táctica distinta. El cambio muestra por qué una defensa adicional puede reducir ciertos riesgos sin corregir la falla subyacente.

Mandiant identificó organizaciones de educación superior, tecnología, salud, agricultura, transporte y gobierno entre los sectores alcanzados por la campaña. No publicó una lista de víctimas ni detalló el impacto particular en cada industria, por lo que no es posible establecer cuántas organizaciones sufrieron una intrusión confirmada. La advertencia se centra en la amplitud de la actividad y en la persistencia de sistemas que siguen sin actualizarse.

El parche y el firewall cumplen funciones distintas

Un firewall de aplicaciones web puede filtrar solicitudes y bloquear patrones de tráfico asociados con métodos de ataque conocidos. Pero esa barrera no protegía suficientemente a los entornos que mantenían sin corregir la vulnerabilidad de PeopleSoft, según el análisis de Mandiant. Los atacantes adaptaron sus procedimientos frente a las medidas defensivas y buscaron sistemas cuya exposición técnica persistía.

Oracle publicó un aviso de seguridad sobre la vulnerabilidad CVE-2026-35273 en PeopleSoft PeopleTools. El reporte de la campaña señala que había una corrección disponible. Por eso, la distinción clave no es solo si una organización instaló controles perimetrales, sino si también aplicó el parche del proveedor. Las reglas de firewall pueden formar parte de una estrategia defensiva, pero confiar únicamente en ellas dejó abiertos sistemas vulnerables, según el análisis de la campaña.

Los ataques anteriores se concentraron sobre todo en universidades, mientras que la nueva oleada incluye organizaciones de más sectores. Esa expansión no significa que todas las entidades mencionadas hayan sufrido la misma clase de acceso ni que cada una haya perdido información: Mandiant no proporcionó ese nivel de detalle. Sí indica que la actividad ya no se limita al perfil de instituciones que caracterizó la primera ola.

Para las organizaciones que usan PeopleSoft, el informe pone el foco en verificar si está instalado el parche de Oracle y no asumir que un filtro añadido después de los primeros ataques basta para cerrar el riesgo. La información disponible no especifica cuántas entidades corrigieron sus sistemas ni cuándo terminará la campaña. Tampoco identifica a los equipos comprometidos, de modo que la evaluación de daños y la respuesta individual quedan en manos de cada organización afectada.

El FBI investiga una presunta brecha reclamada por el grupo

ShinyHunters afirmó haber accedido a sistemas del FBI y robado datos. El FBI investiga la presunta brecha, según reportes de prensa. Sin embargo, la información pública disponible no confirma que ese incidente se haya producido mediante la vulnerabilidad de PeopleSoft ni que forme parte de la campaña descrita por Mandiant.

Reuters informó que verificó parcialmente la filtración atribuida al grupo. Esa comprobación no establece por sí sola cómo se obtuvo la información ni confirma un vínculo con PeopleSoft. Por tanto, la afirmación de ShinyHunters sobre la brecha del FBI debe distinguirse de los hallazgos de Mandiant sobre la explotación de la vulnerabilidad.

La afirmación sobre el FBI apareció pocos días antes de que Mandiant difundiera sus hallazgos sobre la campaña más amplia contra PeopleSoft. La proximidad temporal conecta ambos episodios en la cobertura, pero no prueba que formen parte de una misma operación. Lo que sí sostiene el informe de Mandiant es que ShinyHunters está vinculado con la explotación a gran escala de la vulnerabilidad en instalaciones de PeopleSoft sin corregir.

Los datos públicos describen una campaña internacional, un cambio de táctica frente a filtros de firewall y una vulnerabilidad para la que Oracle publicó un aviso de seguridad y una corrección. No hay nombres de organizaciones afectadas ni un balance integral de daños, y la investigación del FBI sobre su presunta brecha continúa. Para quienes usan PeopleSoft, la principal alerta es que añadir una defensa perimetral no equivale a corregir el software vulnerable.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados