Una falla zero-day in Oracle PeopleSoft colpisce oltre 100 organizzazioni, soprattutto università

Una vulnerabilità grave nel software gestionale Oracle PeopleSoft è stata sfruttata in una campagna di estorsione su larga scala. Identificata come CVE-2026-35273 e classificata con un punteggio di gravità di 9,8 su 10, la falla consente a un attaccante di eseguire codice da remoto senza alcuna autenticazione, attraverso un componente di gestione degli ambienti.

Secondo le ricostruzioni di società di sicurezza, tra cui il gruppo Mandiant di Google, l'attività è stata osservata tra la fine di maggio e l'inizio di giugno e ha colpito oltre 100 organizzazioni: la maggior parte sono istituzioni accademiche, in particolare statunitensi. Dietro gli attacchi ci sarebbe il gruppo noto come ShinyHunters, che ha iniziato a pubblicare i dati rubati su un proprio sito. Oracle ha risposto con un avviso e una correzione fuori dal calendario ordinario degli aggiornamenti.

Il caso è un promemoria di un principio elementare ma spesso disatteso: i software gestionali che custodiscono i dati di studenti, dipendenti e fornitori sono bersagli di altissimo valore, e una vulnerabilità non autenticata è la chiave universale che ogni attaccante cerca. La rapidità nell'applicare le patch, qui, non è un dettaglio tecnico: è la differenza tra un incidente sfiorato e una violazione.

A serious vulnerability in the Oracle PeopleSoft business software was exploited in a large-scale extortion campaign. Identified as CVE-2026-35273 and rated with a severity score of 9.8 out of 10, the flaw lets an attacker execute code remotely with no authentication, through an environment-management component.

According to reconstructions by security firms, including Google's Mandiant group, the activity was observed between late May and early June and hit over 100 organizations: most are academic institutions, particularly in the United States. Behind the attacks is reportedly the group known as ShinyHunters, which began publishing the stolen data on its own site. Oracle responded with an advisory and a fix outside the ordinary update calendar.

The case is a reminder of an elementary but often-neglected principle: business systems holding the data of students, employees and suppliers are very high-value targets, and an unauthenticated vulnerability is the master key every attacker seeks. Speed in applying patches, here, is not a technical detail: it is the difference between a near miss and a breach.