LONDON (IT BOLTWISE) – ShinyHunters nutzt einen bislang ungepatchten Oracle-PeopleSoft-Fehler (CVE-2026-35273) für einen Einbruch in Unternehmensumgebungen und fordert Lösegeld, um Daten geheim zu halten. Laut Google Mandiant begann die Ausnutzung bereits zwischen 27. Mai und 9. Juni, während Oracle erst am 10. Juni eine Empfehlung veröffentlichte. Der Angriff traf vor allem Bildungseinrichtungen und kombinierte Remote-Code-Execution mit lateraler Bewegung sowie Datenexfiltration. Für Betreiber liegt der Sofortfokus auf der Abschottung der exponierten Environment-Management-Hub-Schnittstellen und dem proaktiven Incident-Hunting.
Ein aktueller Fall aus dem Umfeld von ShinyHunters zeigt, wie schnell sich aus einem Server-seitigen Zero-Day in einer On-Premises-ERP-Landschaft ein konkretes Risiko für Hochschulen und andere datenreiche Organisationen entwickeln kann. Besonders brisant ist die Zeitachse: Google Mandiant ordnet die Aktivität zwischen dem 27. Mai und dem 9. Juni ein, während Oracle erst am 10. Juni eine Advisory veröffentlichte. Damit war der Weg für Angreifer nahezu durchgehend offen. Der Angriff zielt nicht auf „Vorrechte durch Nutzeraktionen“, sondern startet über Netzwerkzugriff und kann ohne Login sowie ohne Interaktion unmittelbar zum Server-Übernehmen führen.
Technisch handelt es sich bei CVE-2026-35273 um eine Schwachstelle mit der Einstufung 9,8 von 10: ein Remote-Code-Execution-Problem im Oracle-Umfeld rund um PeopleSoft Enterprise PeopleTools. Besonders relevant für die Praxis ist, dass kein Benutzerverhalten erforderlich ist. Sobald Systeme eine bestimmte Komponente erreichen, kann ein Angreifer Kontrolle erlangen, typischerweise über HTTP-Zugriffe. In der PeopleSoft-Architektur ist der Fehler dem Updates Environment Management zugeordnet, also dem Baustein hinter dem Environment Management Hub (PSEMHUB). Betreiber sind damit nicht nur „im Prinzip“ gefährdet, sondern ganz konkret, wenn der Hub aus dem Internet erreichbar ist.
Damit wird auch die historische Entwicklung verständlich: Viele erfolgreiche Kampagnen der letzten Jahre setzten zunächst stärker auf Zugangstüren wie gestohlene Tokens, schwache Credentials oder Social-Engineering. ShinyHunters ist dafür bekannt, diese Muster auch in anderen Bereichen zu nutzen, etwa gegen SaaS-Umgebungen im Umfeld bekannter Anbieter wie Salesforce und Lernplattformen wie Canvas. Der Schritt zu einem Zero-Day in klassischer ERP-Software ist jedoch ein Niveauwechsel, weil er die Angriffsfläche verschiebt: Statt „Account-Compromises“ oder API-Missbrauch rückt eine serverseitige Schwachstelle in den Vordergrund. Das erhöht die Chance, besonders hochprivilegierte Datenflüsse in Unternehmensanwendungen zu erreichen.
Im Market- und Wettbewerbsbild wird das Risiko dadurch noch verstärkt, dass der Angriff nicht als isolierte Proof-of-Concept-Übung wirkte. Mandiant ordnet die Kampagne dem von ihnen verfolgten Cluster UNC6240 zu und betont, dass die Schwachstelle in freier Wildbahn ausgenutzt wird. Dabei ist Oracle seinerseits vorsichtig in der Einordnung; in der Advisory wird nicht eindeutig bestätigt, ob man bereits erfolgreiche Ausnutzungen in konkreten Umgebungen beobachtet hat. Entscheidend ist, dass es sich nicht um eine bloße Theorie handelt: Die Ermittlungen stützen sich unter anderem darauf, dass Angreifer eigene Artefakte offenließen, die eine spätere Analyse von Infrastruktur- und Staging-Elementen ermöglichten.
Der entscheidende Einblick in die Vorgehensweise kam laut Bericht dadurch, dass die Angreifer ihre Infrastruktur teilweise selbst exponierten. Mandiant triagierte demnach mehrere aufeinanderfolgende IP-Adressen, die einen Python SimpleHTTP-Server auf Port 8888 betrieben. Diese Dienste machten Staging-Dateien zugänglich, darunter ein gemeinsam genutztes .bash_history sowie angepasste Remote-Management-Komponenten, die als harmlose Azure-Binärdateien getarnt waren. Ergänzt wurde das Ganze durch eine laterale Bewegung, bei der ein Script namens [victim]_fanout.sh über SSH mit einer fest einprogrammierten Liste von Benutzern und Passwörtern startet. Dadurch wird aus einem anfänglichen RCE ein breitflächiger Zugriff auf interne Systeme, beschleunigt durch automatisch ausgelesene Zielinformationen aus /etc/hosts.
Für die Bewertung der Datenseite spielt außerdem die Exfiltrationslogik eine Rolle. Im Verlauf wird offenbar komprimiert – im Bericht wird zstd als Kompressionsmechanismus genannt – und anschließend wird eine ausgehende SSH-Verbindung zu einem Server aufgebaut, der das öffentliche Mirror der ShinyHunters-Leak-Site bedient. Als Markierung legt das Tool ein lesbares Marker-File ab („README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT“) in PeopleSoft-Verzeichnisse. Solche „Canaries“ sind aus Angreifersicht eher operativ als zufällig: Sie geben dem Team Feedback über Reichweite und Zielerkennung. Laut Mandiant wurden zudem über 100 Organisationen benachrichtigt, bei denen IPs zu potenziell verwundbaren Endpunkten passten.
Besonders auffällig ist die Betroffenheit im Bildungssektor: 68% der identifizierten Fälle entfielen auf Hochschulen, überwiegend in den USA. Als frühes bestätigtes Opfer wird die University of Nottingham genannt. Darüber hinaus wurden in einem Leak-Kontext rund 455.000 eindeutige E-Mail-Adressen gezählt, die aktuelle Studierende und Alumni abdecken, inklusive weiterer personenbezogener Datensätze wie Namen, Adressen, Telefonnummern sowie selbst Passnummern und Angaben zu Merkmalen wie Ethnie oder Behinderungen. Für deutsche und europäische Institutionen ist das auch datenschutzrechtlich heikel: Bei so umfangreichen Kategorien personenbezogener Daten rücken insbesondere DSGVO-Grundsätze wie Datenminimierung, Zweckbindung und die Pflicht zu zeitnaher Meldung bei Sicherheitsvorfällen in den Mittelpunkt.
Oracle empfiehlt als kurzfristige Schadensbegrenzung vor allem das Deaktivieren des Environment Management Hub-Dienstes in Multi-Server-Setups oder das Entfernen der PSEMHUB-Applikation bei Single-Server-Installationen. Wenn beides nicht sofort möglich ist, sollen Betreiber externe Zugriffe auf konkrete Pfade wie /PSEMHUB/* und besonders /PSEMHUB/hub sowie /PSIGW/HttpListeningConnector an der Peripherie blockieren. Wichtig ist hierbei, dass ein reines Verlassen auf WAF-Body-Inspection nicht genügt, weil solche Prüfungen umgangen werden können. Gleichzeitig weist Oracle darauf hin, dass die Einschränkung der beschriebenen Endpunkte normale Benutzer-Sessions typischerweise nicht beeinträchtigt – ein pragmatischer Aspekt für den Notfallbetrieb.
Für das Incident-Hunting ergänzt Oracle klare technische Indikatoren: WebLogic-Zugriffslogs, die externe POST-Anfragen auf /PSEMHUB/hub oder /PSIGW/HttpListeningConnector zeigen, unerwartete .jsp-Dateien unter dem PSEMHUB.war-Webanwendungsverzeichnis sowie auffällige Ordnernamen wie „logs“, „persistantstorage“ oder „scratchpad“ in den PSEMHUB-Pfaden. Zusätzlich werden kürzlich veränderte XML-Dateien unter envmetadata/data/environment genannt, die für XMLDecoder-basierte Persistenz missbraucht werden können, die beim nächsten Neustart greift. Auf Netzwerkebene ist außerdem ausgehender SMB-Traffic auf Port 445 relevant, da die Exploit-Kette potenziell NetNTLM-Hashes erfassen kann – ein Signal für weitere Kompromittierungsschritte in Windows-Umgebungen.
In der nächsten Phase bleibt die strategische Frage, ob es sich um eine einmalige Ausleihe eines Zero-Days handelt oder ob ShinyHunters systematisch in Richtung ERP-Exploitation ausbaut. Der Bericht deutet darauf hin, dass die Vorgehensmethodik konsequent zu den bisherigen Mustern passt – nur dass statt SaaS-Token nun ein per Prozess erreichbar gestarteter Angriff in Kernsysteme rückt. Für Unternehmen ergibt sich daraus eine klare Priorisierung: erst die Exponierung der kritischen PeopleSoft-Komponenten reduzieren, dann die Logs und Artefakte systematisch prüfen, und anschließend das Update für die betroffene PeopleTools-Version (Oracle nennt PeopleTools 8.61 und 8.62) nachziehen, sobald es über My Oracle Support verfügbar bestätigt ist. Mittel- bis langfristig sollten Betreiber ihre Patch- und Degradationsstrategien so gestalten, dass Zero-Days nicht erst „nach Veröffentlichung“ Relevanz bekommen, sondern schon während der Lücke zwischen Entdeckung und Advisory durch Netzwerksegmentierung und Endpoint-Controls abgefedert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ShinyHunters missbraucht PeopleSoft-Zero-Day CVE-2026-35273 an Uni-Systemen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ShinyHunters missbraucht PeopleSoft-Zero-Day CVE-2026-35273 an Uni-Systemen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ShinyHunters missbraucht PeopleSoft-Zero-Day CVE-2026-35273 an Uni-Systemen« bei Google Deutschland suchen, bei Bing oder Google News!