Explotación Masiva de Oracle PeopleSoft: ShinyHunters Usa 0-day (CVE-2026-35273) para Comprometer +100 Organizaciones (2026)
Nombres Alternativos / Aliases
- ShinyHunters PeopleSoft Campaign (Por el actor y el objetivo)
- CVE-2026-35273 Mass Exploitation (Por la vulnerabilidad)
- University of Nottingham Breach (Por la víctima inicial pública)
- Oracle PeopleSoft 0-day Rampage (Por la naturaleza del ataque)
- 300+ Instance Compromise (Por la escala documentada)
Fecha de Detección / Actividad
| Fecha | Evento |
|---|---|
| Antes del 7 de junio de 2026 | ShinyHunters explota CVE-2026-35273 contra múltiples víctimas |
| 10 de junio de 2026 (martes) | ShinyHunters anuncia el ataque a la Universidad de Nottingham en su sitio de filtraciones; reclama 40 GB robados |
| 10 de junio de 2026 | La Universidad de Nottingham confirma el incidente a The Register |
| 11 de junio de 2026 (miércoles) | HIBP (Have I Been Pwned) añade el dataset de Nottingham: ~455,000 correos únicos |
| 11 de junio de 2026 (miércoles) | Oracle emite alerta de seguridad extraordinaria (out-of-band) |
| 11 de junio de 2026 (jueves) | Charles Carmakal (Mandiant/Google) confirma explotación activa de la 0-day en PeopleSoft |
| 11 de junio de 2026 | The Register publica declaración de ShinyHunters: "más de 100 organizaciones, 300 instancias vulnerables" |
| Estado actual | Activa (parche aún no disponible; solo mitigaciones temporales) |
Actor de Amenaza (Atribución)
| Categoría | Descripción |
|---|---|
| Nombre del Actor | ShinyHunters (grupo dedicado al robo de datos y extorsión) |
| Vínculo Gubernamental | No (ciberdelincuencia con motivación financiera) |
| Tipo de Actor | Ciberdelincuencia / Extorsión / Data theft / Leaks |
| Sofisticación | MEDIA-ALTA. El grupo demuestra: |
- Capacidad para descubrir o adquirir exploits 0-day en software empresarial crítico (PeopleSoft)
- Escala masiva: >100 organizaciones, >300 instancias
- Modelo de negocio: extorsión + publicación pública si no pagan
- Operación paralela contra Charter Communications (4.9M registros, mayo 2026)
- Operación contra Carnival Corporation (~6M personas, mayo/junio 2026) | | Motivación | Financiera (extorsión) | | Antigüedad | Activo desde al menos 2020 (famoso por brechas en Microsoft, GitHub, Wattpad, etc.) | | Operaciones recientes | Charter Communications (4.9M, mayo 2026), Carnival Corp (~6M, mayo/junio 2026), University of Nottingham (40 GB, junio 2026) |
Resumen Ejecutivo
El grupo de ciberdelincuentes ShinyHunters afirma haber explotado una vulnerabilidad crítica de día cero en Oracle PeopleSoft (CVE-2026-35273, CVSS 9.8) para comprometer a más de 100 organizaciones en más de 300 instancias vulnerables del popular software empresarial.
¿Qué es PeopleSoft?
PeopleSoft es un paquete de software empresarial ampliamente utilizado por grandes corporaciones, instituciones gubernamentales y universidades para gestionar:
- Recursos humanos (HR)
- Nóminas
- Facturación
- Cadenas de suministro
- Registros de estudiantes (en el caso de universidades)
Descubrimientos clave
| Descubrimiento | Detalle |
|---|---|
| Vulnerabilidad | CVE-2026-35273 (CVSS 9.8 - Crítica) |
| Tipo | Remote code execution (RCE) sin autenticación vía HTTP |
| Impacto | Control total sobre la plataforma PeopleSoft |
| Organizaciones afectadas | Más de 100 (según ShinyHunters) |
| Instancias vulnerables | Más de 300 (según ShinyHunters) |
| Víctima pública inicial | Universidad de Nottingham (Reino Unido) |
| Datos robados (Nottingham) | 40 GB, incluyendo ~455,000 correos electrónicos + nombres, direcciones, etnias, discapacidades, números de pasaporte, información de matrícula y pagos |
| Estado del parche | NO DISPONIBLE al momento del informe (solo mitigaciones temporales de Oracle) |
| Explotación activa | Confirmada por Mandiant/Google (Charles Carmakal) |
La declaración de ShinyHunters a The Register
"La filtración de la Universidad de Nottingham en nuestro sitio web es uno de los primeros incidentes confirmados públicamente. Acabamos de empezar a contactar con las organizaciones afectadas y estamos buscando activamente llegar a un acuerdo con ellas."
*"Explotaron la vulnerabilidad CVE-2026-35273 para infiltrarse en el sistema PeopleSoft de la universidad y robar 40 GB de datos personales."*
"Más de 100 organizaciones, 300 instancias vulnerables."
Vector de Ataque / Métodos de Distribución
Vulnerabilidad CVE-2026-35273
| Característica | Descripción |
|---|---|
| CVSS | 9.8 (Crítica) |
| Tipo | Remote code execution (RCE) sin autenticación |
| Afecta | Oracle PeopleSoft Enterprise PeopleTools |
| Vector | Acceso a red a través de HTTP |
| Impacto | Atacante no autenticado puede comprometer la plataforma y tomar control total |
| Parche | NO DISPONIBLE (al 11 de junio de 2026) |
| Mitigaciones | Oracle publicó medidas de mitigación temporal (no parche completo) |
Ataque a la Universidad de Nottingham (caso específico)
| Fase | Descripción |
|---|---|
| Explotación | ShinyHunters usó CVE-2026-35273 contra el sistema PeopleSoft de la universidad |
| Pivote | Acceso a sistema de registros de estudiantes |
| Robo de datos | 40 GB de datos personales: facturación, pagos con tarjeta, datos de estudiantes, exportaciones del campus |
| Alcance geográfico | Campus de Nottingham (Reino Unido), Malasia y China (también comprometidos según ShinyHunters) |
| Nottingham confirmación | "Hemos sido víctimas de un incidente cibernético y una cantidad significativa de datos en nuestro sistema de registros de estudiantes ha sido accedida por un conocido grupo ciberdelincuente" |
Datos robados de Nottingham (según HIBP)
| Tipo de dato | Cantidad/Detalle |
|---|---|
| Correos electrónicos únicos | ~455,000 |
| Nombres | Incluidos |
| Direcciones | Incluidas |
| Teléfonos | Incluidos |
| Etnias | Incluidas |
| Discapacidades | Incluidas |
| Números de pasaporte | Incluidos |
| Información de matrícula | Incluida |
| Información de pagos | Incluida |
Otras operaciones recientes de ShinyHunters
Charter Communications (mayo 2026)
| Métrica | Dato |
|---|---|
| Registros expuestos | 4.9 millones de clientes |
| Tipo de datos | Nombres, correos, teléfonos, direcciones |
| Adicional | 85,000 registros de directorio interno con títulos de trabajo |
| Reclamación de ShinyHunters | Más de 42 millones de registros (disputado por Charter) |
| Postura de Charter | "No se exfiltraron datos sensibles (PI/CPNI)" |
| Extorsión | Charter no pagó → ShinyHunters publicó los datos |
Carnival Corporation (mayo/junio 2026)
| Métrica | Dato |
|---|---|
| Personas afectadas | ~6 millones |
| Estado | Confirmado por Carnival |
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | CVE-2026-35273 (PeopleSoft 0-day RCE) |
| Execution (TA0002) | Command and Scripting Interpreter (T1059) | Ejecución remota de comandos tras explotación |
| Persistence (TA0003) | Server Software Component (T1505) | Posible instalación de webshells en PeopleSoft |
| Defense Evasion (TA0005) | Masquerading (T1036) | Uso de tráfico HTTP legítimo |
| Credential Access (TA0006) | OS Credential Dumping (T1003) | Robo de credenciales de la base de datos PeopleSoft |
| Discovery (TA0007) | File and Directory Discovery (T1083) | Enumeración de registros de estudiantes, facturación |
| Collection (TA0009) | Data from Local System (T1005) | 40 GB de datos (Nottingham) |
| Collection (TA0009) | Data from Information Repositories (T1213) | Acceso a base de datos de estudiantes |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Transferencia de datos a infraestructura de ShinyHunters |
| Impact (TA0040) | Data Manipulation (T1565) | Publicación pública si no pagan |
| Impact (TA0040) | Financial Theft / Extortion (T1657) | Modelo de negocio: extorsión + publicación en sitio de filtraciones |
Flujo de Ataque (Cyber Kill Chain)
| Fase | Descripción |
|---|---|
| 1. Reconocimiento | Escaneo masivo de instancias PeopleSoft expuestas a internet |
| 2. Armamento | Exploit para CVE-2026-35273 (RCE sin autenticación) |
| 3. Entrega | Solicitud HTTP maliciosa a PeopleSoft Enterprise PeopleTools |
| 4. Explotación | Ejecución remota de código con privilegios de la plataforma |
| 5. Instalación | Acceso persistente (webshells, credenciales) |
| 6. Comando y Control | Comunicación con C2 de ShinyHunters |
| 7. Acción sobre Objetivos | - Enumeración de bases de datos (estudiantes, facturación, HR, nóminas)
- Exfiltración de datos masiva (40 GB en Nottingham) - Extorsión: notificación a la organización - Publicación en sitio de filtraciones si no pagan |
Infraestructura Utilizada
Vulnerabilidad
| CVE | CVE-2026-35273 |
|---|---|
| CVSS | 9.8 (Crítica) |
| Producto | Oracle PeopleSoft Enterprise PeopleTools |
| Afecta | Versiones no especificadas (parche aún no disponible) |
| Vector | HTTP, remoto, sin autenticación |
| Impacto | Compromiso total de la plataforma |
Sitio de filtraciones de ShinyHunters
| Propósito | URL (no especificada en fuentes, pero conocida históricamente) |
|---|---|
| Publicación de datos robados | Sitio propio (similar a LeakedData, pero de ShinyHunters) |
Otras víctimas mencionadas (no atribuidas directamente a PeopleSoft)
| Organización | Fecha | Escala | Datos |
|---|---|---|---|
| Charter Communications | Mayo 2026 | 4.9M registros | Nombres, correos, teléfonos, direcciones |
| Carnival Corporation | Mayo/junio 2026 | ~6M personas | Datos personales (no especificados) |
Víctimas y Sectores Afectados
| Categoría | Datos |
|---|---|
| Organizaciones afectadas (reclamadas) | Más de 100 |
| Instancias comprometidas (reclamadas) | Más de 300 |
| Víctima pública confirmada | Universidad de Nottingham (Reino Unido) |
| Sectores objetivo | Educación superior (universidades), telecomunicaciones (Charter), cruceros (Carnival), probablemente también gobierno, finanzas, salud |
| Países afectados | Global (Reino Unido, EE.UU., Malasia, China, etc.) |
Víctimas específicas documentadas
| Organización | País | Fecha de exposición | Datos expuestos |
|---|---|---|---|
| Universidad de Nottingham | Reino Unido | 10-11 junio 2026 | 40 GB, 455K correos, nombres, direcciones, etnias, discapacidades, pasaportes, matrícula, pagos |
| Charter Communications | EE.UU. | Mayo 2026 | 4.9M registros (nombres, correos, teléfonos, direcciones) + 85K directorio interno |
| Carnival Corporation | Global | Mayo/junio 2026 | ~6M personas (datos personales) |
Impacto en la Universidad de Nottingham
El ataque ocurre en un momento particularmente delicado:
| Factor | Contexto |
|---|---|
| Conflicto laboral | La universidad está en disputa con el sindicato UCU por cientos de despidos |
| Huelga | Desde el 1 de junio hasta el 31 de julio (incluye boicot a calificaciones) |
| Estudiantes | Acaban de terminar exámenes, pero pueden no recibir calificaciones a tiempo → afecta aplicaciones a posgrados y empleos |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| CVSS | 9.8 (Crítica) | CVE-2026-35273 |
| Escala de compromiso | MASIVA | >100 organizaciones, >300 instancias |
| Estado del parche | CRÍTICO | NO DISPONIBLE (solo mitigaciones temporales) |
| Explotación activa | CONFIRMADA | Mandiant/Google confirmó explotación activa |
| Tipo de datos | MUY SENSIBLES | Pasaportes, etnias, discapacidades, datos financieros, registros de estudiantes |
| Modelo de extorsión | AGRESIVO | Pagar o publicar todo |
Consecuencias específicas
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Filtración masiva de datos de estudiantes | Crítica | 455K correos con nombres, direcciones, pasaportes, etnias, discapacidades |
| Riesgo de robo de identidad | Crítica | Pasaportes + datos personales completos |
| Discriminación | Alta | Datos de etnia y discapacidad expuestos |
| Extorsión financiera | Alta | Pagos y datos de facturación expuestos |
| Daño reputacional | Alto | Universidades y corporaciones afectadas |
| Multas regulatorias | Alta | GDPR (UE/UK), CCPA (California), etc. |
| Espionaje académico | Media | Dependiendo del tipo de investigación |
Comparativa con otros incidentes de ShinyHunters
| Incidente | Año | Escala | ¿Pagaron? |
|---|---|---|---|
| Microsoft (GitHub) | 2020 | Datos de 500+ empleados | No (filtrados) |
| Wattpad | 2020 | 270M registros | No |
| Tokopedia | 2020 | 91M registros | No |
| Charter Communications | 2026 | 4.9M registros | No (filtrados) |
| Carnival Corp | 2026 | ~6M personas | No especificado |
| Univ. of Nottingham | 2026 | 455K correos + datos sensibles | No (filtrados) |
Patrón: ShinyHunters publica los datos cuando la organización se niega a pagar.
Detección y Respuesta
Estado del parche (Oracle)
| Situación | Estado |
|---|---|
| Parche completo | NO DISPONIBLE (al 11 de junio de 2026) |
| Medidas de mitigación | SÍ (publicadas por Oracle el 11 de junio) |
| Alerta de seguridad | Extraordinaria (out-of-band) |
| Explotación activa | Confirmada (Mandiant/Google) |
Declaración de Charles Carmakal (CTO de Mandiant/Google)
"PeopleSoft era una de las dos vulnerabilidades de día cero que están siendo explotadas activamente. Oracle ha publicado medidas de mitigación. Los parches deberían llegar pronto."
Recomendaciones urgentes para organizaciones con PeopleSoft
| Acción | Prioridad | Descripción |
|---|---|---|
| Aplicar mitigaciones de Oracle | CRÍTICA | Seguir las instrucciones de la alerta de seguridad extraordinaria |
| Monitorear logs | CRÍTICA | Buscar actividad anómala en PeopleSoft (accesos no autorizados, ejecución de comandos) |
| Restringir acceso a PeopleSoft | ALTA | Limitar exposición a internet si es posible |
| Revisar integridad de datos | ALTA | Verificar si hay indicadores de exfiltración (logs de red, logs de base de datos) |
| Preparar notificación | ALTA | Si se confirma compromiso, notificar a afectados (estudiantes, clientes, empleados) |
| Contactar a Oracle | ALTA | Para obtener información sobre el parche cuando esté disponible |
Recomendaciones para organizaciones con sistemas de estudiantes/datos sensibles
| Acción | Descripción |
|---|---|
| Rotar credenciales | Especialmente cuentas con acceso a PeopleSoft |
| Auditar accesos recientes | Buscar actividad inusual en las últimas semanas |
| Preparar equipo de respuesta | Forense, legal, comunicaciones, regulatorio |
| Revisar cobertura de seguro | Ciberseguro para incidentes de extorsión y filtración |
Para individuos afectados (estudiantes de Nottingham, clientes de Charter/Carnival)
| Acción | Descripción |
|---|---|
| Monitorear correo | Alertas de HIBP, correos oficiales de la universidad/empresa |
| Cambiar contraseñas | Especialmente si se reutilizan en otros servicios |
| Activar MFA | En todas las cuentas importantes |
| Monitorear crédito | Servicios de monitoreo de robo de identidad (por pasaportes filtrados) |
| Desconfiar de phishing | Los datos filtrados serán usados para ataques dirigidos |
Antecedentes: Historial de ShinyHunters
| Año | Víctima | Datos expuestos | ¿Pagaron? |
|---|---|---|---|
| 2020 | Microsoft (GitHub) | 500+ empleados | No |
| 2020 | Wattpad | 270M registros | No |
| 2020 | Tokopedia | 91M registros | No |
| 2020 | Promo.com | 22M registros | No |
| 2020 | Mathway | 25M registros | No |
| 2021 | AT&T | Datos de clientes (reclamado) | No confirmado |
| 2022 | Pixel Federation | 23M registros | No |
| 2026 | Charter Communications | 4.9M registros | No |
| 2026 | Carnival Corp | ~6M personas | No especificado |
| 2026 | Univ. of Nottingham | 455K correos + datos sensibles | No |
| 2026 | 100+ organizaciones (PeopleSoft) | En curso | Desconocido |
Patrón consistente: ShinyHunters opera con un modelo de extorsión pura: roban datos, exigen pago, y si la víctima no paga, publican todo en su sitio de filtraciones.
Opiniones de Expertos
"La filtración de la Universidad de Nottingham en nuestro sitio web es uno de los primeros incidentes confirmados públicamente. Acabamos de empezar a contactar con las organizaciones afectadas y estamos buscando activamente llegar a un acuerdo con ellas." — Portavoz de ShinyHunters (a The Register)
"PeopleSoft era una de las dos vulnerabilidades de día cero que están siendo explotadas activamente. Oracle ha publicado medidas de mitigación. Los parches deberían llegar pronto." — Charles Carmakal, CTO de Mandiant (Google)
"La Universidad de Nottingham ha sido víctima de un incidente cibernético y una cantidad significativa de datos en nuestro sistema de registros de estudiantes ha sido accedida por un conocido grupo ciberdelincuente... Hemos reportado este incidente a Action Fraud y a la Oficina del Comisionado de Información." — Portavoz de la Universidad de Nottingham
"Lo que hace especialmente preocupante esta campaña es la combinación de tres factores. Primero, la velocidad de explotación: ShinyHunters ya ha comprometido más de 100 organizaciones antes de que Oracle publique un parche. Segundo, el objetivo: PeopleSoft es el sistema nervioso de HR, nóminas y estudiantes de muchas de las organizaciones más grandes del mundo. Tercero, la naturaleza de los datos robados de Nottingham —etnias, discapacidades, números de pasaporte— no es solo una violación de datos; es una violación de la dignidad y seguridad de cientos de miles de personas." — Fernando Vargas (CiberAnalyst)
Referencias y Fuentes
- Lyons, J. (2026, 11 de junio). *ShinyHunters claims to have hacked 100 orgs exploiting Oracle PeopleSoft zero-day*. The Register.
- Jones, C. (2026, 11 de junio). Nottingham Uni says student records raided after ShinyHunters claims cyberattack. The Register.
- Page, C. (2026, 29 de mayo). ShinyHunters adds Charter to trophy shelf after 4.9M customer records leak. The Register.
- Have I Been Pwned (HIBP). (2026, 11 de junio). University of Nottingham breach notification.
- Carmakal, C. (2026, 11 de junio). *LinkedIn post on Oracle PeopleSoft 0-day exploitation*.
- Oracle. (2026, 11 de junio). *Out-of-band security alert: CVE-2026-35273 (PeopleSoft Enterprise PeopleTools)*.
- Mandiant / Google Threat Intelligence. (2026, junio). *Active exploitation of CVE-2026-35273*.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-06-11 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en informes de The Register, HIBP, Mandiant/Google, y declaraciones de ShinyHunters y Oracle |
Indicadores de Compromiso (IOCs)
Vulnerabilidad
| CVE | CVSS | Producto afectado | Parche disponible |
|---|---|---|---|
| CVE-2026-35273 | 9.8 | Oracle PeopleSoft Enterprise PeopleTools | NO (solo mitigaciones) |
Sitios de filtraciones de ShinyHunters
| Propósito | URL (histórica) |
|---|---|
| Sitio de leaks | (No especificado en fuentes actuales; históricamente en dark web) |
Comportamiento anómalo a monitorear (en PeopleSoft)
| Comportamiento | Dónde buscar |
|---|---|
| Accesos HTTP no autenticados que resultan en ejecución remota | Logs de PeopleSoft, logs de servidor web |
| Creación de webshells en directorios de PeopleSoft | Monitoreo de integridad de archivos |
| Consultas SQL anómalas a bases de datos de estudiantes/HR | Logs de base de datos |
| Transferencias masivas de datos desde servidores PeopleSoft | Logs de firewall, logs de red |
| Descargas de archivos de configuración (con credenciales) | Logs de PeopleSoft |
Datos filtrados conocidos
| Organización | Cantidad | Tipo de datos |
|---|---|---|
| Univ. of Nottingham | ~455,000 correos | Nombres, direcciones, teléfonos, etnias, discapacidades, pasaportes, matrícula, pagos |
| Charter Communications | 4.9M registros | Nombres, correos, teléfonos, direcciones; +85K directorio interno con títulos |
| Carnival Corp | ~6M personas | Datos personales no especificados |
Preguntas sin respuesta
| Pregunta | Estado |
|---|---|
| ¿Oracle ha publicado un parche completo? | NO (al 11 de junio, solo mitigaciones) |
| ¿Cuándo estará disponible el parche? | No especificado ("deberían llegar pronto" - Carmakal) |
| ¿Las 100+ organizaciones han sido todas notificadas? | ShinyHunters dice que "acaban de empezar a contactar" |
| ¿Cuántas organizaciones han pagado la extorsión? | No especificado |
| ¿ShinyHunters utilizó la misma 0-day contra Charter y Carnival? | No confirmado (podría ser otro vector) |
| ¿Las instancias en Malasia y China de Nottingham también comprometidas? | ShinyHunters lo afirma; universidad no lo confirma explícitamente |
Etiquetas / Categorías
shinyhunters oracle-peoplesoft cve-2026-35273 zero-day-exploit mass-compromise university-of-nottingham data-breach student-data-exposed 455k-emails extortion-campaign peopletools-rce charter-communications carnival-corporation have-i-been-pwned hyatt-cybersecurity law-enforcement-involved gdpr-breach