Il 10 giugno Oracle ha pubblicato un avviso di sicurezza straordinario per la CVE-2026-35273, una vulnerabilità con gravità 9,8 in PeopleSoft, il gestionale con cui molte università amministrano studenti, borse di studio, personale e stipendi. Secondo i ricercatori di Google, la falla era già sfruttata da circa due settimane.
Il problema sta nell’Environment Management Hub di PeopleTools, nelle versioni 8.61 e 8.62. Un attaccante senza credenziali e senza alcuna interazione degli utenti può eseguire codice sul server con una semplice connessione HTTP. Sono a rischio le installazioni in cui quel componente amministrativo è raggiungibile dall’esterno, il che in teoria non dovrebbe mai accadere.
Due settimane, cento organizzazioni
Tra il 27 maggio e il 9 giugno il gruppo di estorsori ShinyHunters ha usato la falla per entrare nei sistemi e portare via dati. I ricercatori hanno avvisato oltre 100 organizzazioni con server potenzialmente vulnerabili: il 68% sono università e college, in gran parte negli Stati Uniti. Alcune hanno bloccato gli attacchi, altre hanno visto i propri dati comparire sul sito del gruppo. Quante abbiano pagato, non è noto.
Tra le prime vittime confermate c’è l’Università di Nottingham, nel Regno Unito. I dati pubblicati contengono circa 455.000 indirizzi email di studenti ed ex studenti, con nomi, indirizzi, numeri di telefono, numeri di passaporto e informazioni sensibili come etnia e disabilità.
Lo schema ricorda quello di Cl0p con Oracle E-Business Suite lo scorso autunno: una falla in un gestionale Oracle molto diffuso, il furto silenzioso, poi la pubblicazione per fare pressione. Cambiano gruppo e prodotto, il metodo resta.
I gestionali universitari conservano dati delicatissimi su persone giovani, spesso straniere, che restano negli archivi per anni dopo la laurea. E sono sistemi complessi, aggiornati con lentezza, con componenti amministrativi lasciati raggiungibili per comodità di qualche tecnico.
Se gestisci PeopleSoft, applica subito le correzioni e le misure dell’avviso straordinario, e blocca dall’esterno gli endpoint dell’Environment Management Hub. Poi cerca segni di compromissione a partire dal 27 maggio: processi e strumenti di controllo remoto sconosciuti, connessioni in uscita insolite, grandi esportazioni di dati.
Se sei studente o ex studente di un ateneo colpito, nei prossimi mesi diffida dei messaggi che conoscono troppo bene il tuo corso, la tua matricola o il tuo indirizzo. È proprio quello che li rende credibili.
