ShinyHunters explotó un zero-day CVSS 9.8 en Oracle PeopleSoft durante 13 días antes de que Oracle publicara cualquier cosa. No fue un ataque furtivo de bajo perfil, fue una operación de extorsión a escala, con despliegue de agentes MeshCentral personalizados, credential spraying por SSH y exfiltración de datos publicada en el Data Leak Site del grupo. En Tech86 seguimos este tipo de escenario repetidamente: el ciclo de parches no acompaña la velocidad de explotación, y quien tiene un ERP expuesto a internet paga el precio.
La vulnerabilidad y la ventana de explotación
El CVE-2026-35273 es una ejecución remota de código no autenticada en el PeopleSoft Environment Management Hub (PSEMHUB). Sin autenticación. Sin interacción del usuario. Complejidad baja. Vector: red. CVSS 9.8.
Según Mandiant, la ventana de explotación activa fue del 27 de mayo al 9 de junio de 2026. El advisory de Oracle llegó el 10 de junio. No era un parche, era una mitigación: deshabilitar el PSEMHUB o bloquear el acceso externo a /PSEMHUB/*. El parche completo sigue detrás del login de cliente. Trece días entre explotación activa documentada y advisory pública. Para quien opera seguridad, esto es una eternidad.
Según TrendAI, que reportó la vulnerabilidad, hubo explotación limitada. Oracle no menciona explotación activa en el advisory, según el advisory de Oracle. El CTO de Mandiant, Charles Carmakal, alertó públicamente sobre la campaña, según Mandiant.
La cadena de ataque documentada por Mandiant
Mandiant documentó una cadena de ataque estructurada que va más allá de la explotación inicial del PSEMHUB:
Explotación del PSEMHUB → despliegue de agentes MeshCentral personalizados disfrazados de servicios de Azure (
meshagent64-azure-ops.exe, C2 enazurenetfiles.netcon certificados Let's Encrypt). El disfraz es deliberado: nombres y dominios que parecen legítimos en logs de red.Script fanout.sh → analiza
/etc/hostsen busca de hostnames PeopleSoft, seguido de SSH credential spraying con credenciales hardcoded mediantesshpass. Movimiento lateral automatizado.Marcadores de defacement →
README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXTcopiados a directorios WebLogic y Process Scheduler. El atacante quiere que la víctima lo sepa.Exfiltración → compresión zstd y transferencia por SSH hacia la IP del Data Leak Site de ShinyHunters (176.120.22.24), según Mandiant.
Publicación → datos publicados en el DLS el 9 de junio.
Esta no es una explotación puntual. Es un playbook de extorsión con persistencia, movimiento lateral y exfiltración estructurada.
El impacto real: datos sensibles, no operativos
PeopleSoft gestiona RRHH, finanzas y registros estudiantiles. El dato filtrado es el más sensible que una institución guarda: pasaporte, etnia, discapacidad, pagos. No es dato operativo, es dato que puede usarse para fraude de identidad, discriminación y chantaje directo.
La University of Nottingham confirmó la filtración. Según Have I Been Pwned, se verificaron 454 mil registros: nombres, direcciones, teléfonos, etnias, discapacidades, números de pasaporte y datos de matrícula y pagos.
Según Mandiant, más de 100 organizaciones fueron notificadas cuyos IPs correlacionaban con endpoints potencialmente vulnerables, no todas confirmadas como comprometidas. De ese total, 68% eran instituciones de educación superior, la mayoría en EE.UU., según Mandiant. ShinyHunters afirma 300 instancias en más de 100 organizaciones, según ShinyHunters (afirmación del atacante, sin verificación independiente). Mandiant confirmó la escala del ataque dirigido, pero observó que varias organizaciones bloquearon la actividad con éxito.
La mitigación que no es corrección
Según el advisory de Oracle, la mitigación es deshabilitar el PSEMHUB o bloquear el acceso externo a /PSEMHUB/*. Es la misma recomendación que hizo Mandiant. Pero según Mandiant, un WAF con body-inspection es insuficiente, se puede eludir. Si tiene PeopleSoft expuesto a internet, la mitigación correcta es bloquear /PSEMHUB/* y /PSIGW/HttpListeningConnector en el perímetro.
La mitigación es contención. No es corrección. El parche completo sigue restringido a clientes con acceso al soporte de Oracle. Mientras el parche no se aplica, la superficie de ataque permanece.
El patrón que se repite
La ventana de 13 días entre explotación activa y advisory refleja el mismo patrón que vimos en otros incidentes en 2026. La diferencia aquí: no fue la IA acelerando el exploit. Fue un grupo de extorsión operando en una ventana de zero-day sin parche, el mismo desajuste entre velocidad de ataque y velocidad de defensa documentado en otros contextos.
En Tech86 vimos este desajuste repetidamente. La defensa necesita responder en horas, no en semanas. Un EDR con detección de comportamiento identifica agentes MeshCentral no autorizados, credential spraying masivo y exfiltración anómala antes de que el dato salga. El monitoreo en tiempo real no es un lujo cuando el adversario tiene 13 días de ventaja.
Conclusión
El CVE-2026-35273 no es un incidente aislado, es un caso ejemplar de cómo la ventana entre explotación y respuesta define el impacto real. Trece días de explotación activa, datos de 454 mil registros filtrados, mitigación en lugar de parche. Si su organización opera PeopleSoft expuesto a internet y no bloqueó /PSEMHUB/* en el perímetro, la ventana sigue abierta. En Tech86 automatizamos la defensa a la velocidad que el adversario exige, con EDR, monitoreo de comportamiento y respuesta autónoma. El ciclo de parches no va a acelerar. Su defensa sí.