Das hier ist ein vollständig KI generierter Artikel.

KI-Schattenartikel: Dieser Beitrag wurde mit Unterstützung eines Sprachmodells erstellt und redaktionell geprüft. Eine von Mandiant beobachtete Angriffswelle zeigt, dass die Gruppe ShinyHunters erneut eine Schwachstelle in Oracle PeopleSoft ausnutzt – selbst dort, wo Unternehmen zwar Workarounds umgesetzt, aber den eigentlichen Patch nicht eingespielt haben.

Hintergrund: CVE-2026-35273 in Oracle PeopleSoft

Die Schwachstelle CVE-2026-35273 betrifft Oracle PeopleSoft, eine weit verbreitete Business-Suite, die insbesondere in Behörden, Hochschulen und im Gesundheitswesen für Aufgaben wie Personalverwaltung, Projektmanagement und Abrechnung eingesetzt wird. Die Lücke wurde im Juni 2026 offengelegt; Oracle stellte am 10. Juni einen Patch bereit.

Mandiant hatte bereits im Frühsommer berichtet, dass ShinyHunters die Schwachstelle als Zero-Day zwischen dem 27. Mai und dem 9. Juni 2026 aktiv ausnutzte – vor allem gegen akademische Einrichtungen. Parallel zum Patch veröffentlichte Mandiant Empfehlungen, wie Organisationen entweder zeitnah aktualisieren oder zumindest temporäre Workarounds implementieren können.

Neue Angriffswelle: Anpassung an Verteidigungsmassnahmen

In einem aktuellen Blog warnt Mandiant nun, dass ShinyHunters seine Kampagne wieder aufgenommen und die eigenen Taktiken an die veröffentlichten Schutzmassnahmen angepasst hat. Im Fokus stehen Organisationen, die zwar Workarounds umgesetzt, die eigentliche Sicherheitsaktualisierung jedoch nicht installiert haben.

Nach Analyse von Mandiant hat die Gruppe ihre Zielauswahl deutlich erweitert. Betroffen sind demnach Systeme aus den Bereichen Hochschulen, Technologie, IT-Dienstleistungen, Gesundheitswesen, Landwirtschaft, Transport und Regierung. Auf dutzenden Systemen weltweit wurden Webshells platziert, um einen dauerhaften Zugriff zu sichern.

Von der Webshell zur Systemübernahme

Die untersuchten Vorfälle zeigen, dass Angreifer über die Schwachstelle nicht nur PeopleSoft selbst kompromittieren, sondern sich weiter in die zugrunde liegenden Systeme vorarbeiten können. Mandiant beschreibt Fälle, in denen ShinyHunters entweder vollständige Kontrolle über das Betriebssystem erlangte oder zumindest Zugriff auf zentrale Konfigurations- und Verbindungsdaten erhielt.

  • PeopleSoft-Konfigurationsdateien
  • Datenbank-Verbindungsstrings
  • Anwendungsdaten wie HR-, Payroll- und Studierendendaten

Gerade in Umgebungen, in denen PeopleSoft als zentrales HR- oder Campus-Management-System eingesetzt wird, können solche Zugriffe weitreichende Folgen für Vertraulichkeit und Integrität der Daten haben.

Bezug zu weiteren Vorfällen und Bedrohungsprofil von ShinyHunters

ShinyHunters ist seit längerem durch Datenexfiltration und Erpressungskampagnen bekannt. Die Gruppe wird mit zahlreichen Angriffen auf grosse Unternehmen in Verbindung gebracht, darunter Ticketmaster, AT&T, ein grosser Bildungsverlag sowie weitere internationale Marken. Typischerweise werden grosse Datenmengen entwendet und anschliessend mit der Drohung einer Veröffentlichung auf Leak-Seiten zur Zahlung von Lösegeld genutzt.

Zuletzt sorgte ein Angriff auf eine von der US-Bundespolizei betriebene Jobplattform für Aufmerksamkeit. ShinyHunters reklamierte den Vorfall für sich und behauptete, über eine PeopleSoft-Schwachstelle eingedrungen zu sein. Ob dabei CVE-2026-35273 oder eine andere Lücke ausgenutzt wurde, ist öffentlich nicht abschliessend geklärt, der Vorfall unterstreicht jedoch die Attraktivität von PeopleSoft-Installationen als Ziel.

Parallel zu den technischen Analysen meldeten Strafverfolgungsbehörden erste Ermittlungserfolge. So wurde in den Niederlanden ein mutmassliches Mitglied der Gruppe festgenommen. Dennoch ist nicht davon auszugehen, dass die Aktivitäten von ShinyHunters kurzfristig vollständig zum Erliegen kommen.

Empfehlungen für Betreiber von PeopleSoft-Instanzen

Für Betreiber von Oracle PeopleSoft ergeben sich aus den aktuellen Erkenntnissen mehrere konkrete Handlungsfelder:

  • Patch-Management priorisieren: Der von Oracle bereitgestellte Patch für CVE-2026-35273 sollte unverzüglich eingespielt werden. Workarounds sind ausdrücklich kein Ersatz für eine vollständige Aktualisierung.
  • Workarounds überprüfen: Organisationen, die sich bislang auf temporäre Massnahmen verlassen, sollten diese kritisch prüfen und nur als Übergangslösung betrachten.
  • Log-Analyse intensivieren: Mandiant empfiehlt, Datenbank-Logs gezielt auf Abfragen zu HR-, Payroll- und Studierendentabellen zu untersuchen. Auffällige oder unübliche Zugriffe können auf eine laufende oder vergangene Kompromittierung hinweisen.
  • Suche nach Webshells: Webserver-Logs und Dateisysteme sollten auf unbekannte Skripte und verdächtige Uploads geprüft werden, insbesondere in Verzeichnissen, die von PeopleSoft genutzt werden.
  • Vorbereitung auf Erpressungsversuche: Betroffene Organisationen sollten interne Prozesse für den Umgang mit Erpressungs-E-Mails und möglichen Datenleaks definieren, inklusive Kommunikations- und Entscheidungswegen.
  • Monitoring externer Quellen: Die Beobachtung einschlägiger Leak-Seiten und Foren kann helfen, frühzeitig Hinweise auf veröffentlichte oder zum Verkauf angebotene Daten zu erkennen.

Fazit: Patches statt Provisorien

Die erneute Ausnutzung von CVE-2026-35273 durch ShinyHunters zeigt, dass Angreifer sehr genau verfolgen, wie Verteidiger auf veröffentlichte Schwachstellen reagieren. Workarounds verschaffen zwar Zeit, bieten aber keinen dauerhaften Schutz, wenn der eigentliche Patch ausbleibt. Für Betreiber von Oracle PeopleSoft gilt daher: Sicherheitsupdates müssen konsequent priorisiert und mit einer sorgfältigen Log-Analyse sowie der Suche nach Anzeichen einer Kompromittierung kombiniert werden. Nur so lassen sich die Risiken durch datengetriebene Erpressungskampagnen wie jene von ShinyHunters wirksam reduzieren.

Quelle: https://therecord.media/shinyhunters-cyberattacks-oracle-mandiant