CVE-2026-35273 : RCE pré-auth Oracle PeopleSoft — 100+ orgs compromises

Les faits

Oracle a publié son Critical Patch Update (CPU) de juillet 2026 le 8 juillet 2026, corrigeant des centaines de vulnérabilités dans l'ensemble de son portefeuille logiciel. Parmi les entrées les plus critiques figurent CVE-2026-35273 et CVE-2026-35278, deux vulnérabilités distinctes de type Remote Code Execution (RCE) pré-authentifié dans Oracle PeopleSoft Enterprise PeopleTools, le socle technique commun à toutes les applications PeopleSoft — ressources humaines, finances, étudiant, supply chain. Ces deux CVE partagent un score CVSS 3.1 de 9.8 sur 10 et un vecteur identique (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), signifiant qu'un attaquant distant, sans aucun identifiant ni interaction de l'utilisateur cible, peut compromettre intégralement le serveur PeopleSoft ainsi que le système d'exploitation hôte sous-jacent.

CVE-2026-35278 touche le composant Performance Monitor de PeopleTools. Ce module de supervision interne, habituellement accessible uniquement depuis le réseau d'administration, est dans de nombreux déploiements exposé directement sur Internet ou sur des segments réseau insuffisamment cloisonnés. Une requête HTTP spécialement forgée contre cet endpoint suffit à déclencher l'exécution de code arbitraire sur le serveur d'application, sans qu'aucun token d'authentification ne soit requis. Le groupe d'attaquants ShinyHunters — connu pour ses brèches massives chez des entreprises comme AT&T, Ticketmaster et plusieurs universités — a exploité cette vulnérabilité comme point d'entrée initial dans sa campagne lancée début juin 2026.

CVE-2026-35273, dans le composant Updates Environment Management, constitue la deuxième étape de la chaîne d'attaque documentée par Rapid7 et Google Cloud Mandiant. Une fois un premier accès obtenu via CVE-2026-35278, l'attaquant exploite ce second vecteur pour élargir ses privilèges et pivoter sur le réseau interne. Les deux vulnérabilités partagent la même famille technique : une absence totale de validation d'authentification sur des endpoints HTTP exposant des fonctionnalités de gestion système critiques. Le type de faille est un contrôle d'accès insuffisant (CWE-284) combiné à une injection de commande au niveau du système d'exploitation.

L'impact réel est considérable. Les chercheurs d'Arctic Wolf et de Rapid7 ont publié des rapports de threat intelligence confirmant que plus de 100 organisations distinctes ont été compromises avant la disponibilité du correctif. Le secteur éducatif est particulièrement touché : universités américaines, européennes et australiennes dont les systèmes de gestion étudiante, de paie et d'administration académique reposent sur PeopleSoft. Selon les IoC publiés par Mandiant, les attaquants ont procédé à une exfiltration massive de données : données personnelles d'étudiants et d'employés, informations financières, données RH, et dans certains cas accès aux annuaires LDAP internes et aux systèmes de Single Sign-On interconnectés.

La chronologie de la campagne est préoccupante. Les premières détections d'exploitation remontent au début du mois de juin 2026, soit plusieurs semaines avant la publication du correctif par Oracle. Cela confirme que CVE-2026-35273 et CVE-2026-35278 ont été exploitées comme zero-days pendant une période prolongée. Oracle a réagi en publiant un Security Alert hors-cycle mi-juin 2026 spécifiquement pour CVE-2026-35273, avant l'inclusion des deux CVE dans le CPU trimestriel de juillet. Cette publication hors-cycle — exceptionnelle chez Oracle — témoigne de la sévérité de la situation et de l'urgence reconnue par l'\eacute;diteur lui-même.

Du point de vue technique, les serveurs PeopleSoft exposent de nombreux endpoints HTTP sur des ports dédiés (typiquement 8000, 8443, 9000). Le composant Performance Monitor opère sur un port distinct du portail principal, et sa surface d'attaque est souvent négligée dans les matrices de contrôle d'accès réseau. Les requêtes malveillantes documentées utilisent des méthodes HTTP standard (GET/POST) et des en-têtes ordinaires : aucune technique d'obfuscation avancée n'est requise, ce qui rend l'exploitation accessible à un large spectre d'acteurs malveillants au-delà de ShinyHunters seul. Le délai d'exploitation après découverte est minimal, confirmé par les honeypots de Rapid7.

Aucun PoC (proof-of-concept) n'a été rendu public à ce jour, ce qui suggère que la technique d'exploitation reste pour l'instant maîtrisée par un nombre limité d'acteurs sophistiqués. Cependant, les publications des chercheurs de Rapid7, Mandiant et Arctic Wolf fournissent suffisamment d'informations techniques pour qu'une weaponisation plus large soit attendue dans les prochains jours. Le cycle habituel d'exploitation de masse — de la divulgation de détails techniques au déploiement de scripts automatisés — est généralement de 48 à 72 heures pour des failles de ce niveau de criticité. Les administrateurs PeopleSoft doivent traiter ce risque comme immédiat.

Oracle recommande dans son advisory CPU juillet 2026 une priorité de remédiation maximale pour l'ensemble des instances PeopleSoft. Les versions affectées sont PeopleTools 8.61 et 8.62 ; les versions antérieures (8.59, 8.60) ne sont plus dans la fenêtre de support Oracle et doivent être considérées comme vulnérables sans correctif disponible. Selon les données de Censys et Shodan, plusieurs milliers d'instances PeopleSoft sont directement accessibles depuis Internet, représentant une surface d'attaque significative pour des attaquants automati sant leurs recherches de cibles via des outils de scan réseau.

Impact et exposition

Les organisations les plus exposées sont celles qui hébergent des instances PeopleSoft PeopleTools 8.61 ou 8.62 avec les composants Performance Monitor ou Updates Environment Management accessibles depuis des réseaux non cloisonnés. Le secteur de l'enseignement supérieur est surreprésenté parmi les victimes confirmées, de nombreuses universités ayant adopté PeopleSoft comme système de gestion étudiante (Student Information System) et RH. Les grandes entreprises et administrations utilisant PeopleSoft Financials ou HCM (Human Capital Management) sont également dans le périmètre de risque.

La condition d'exploitation est minimale : un accès réseau aux ports de service PeopleSoft suffit. Aucune authentification, aucune interaction utilisateur, aucune configuration particulière n'est requise. L'exploitation est confirmée dans la nature depuis début juin 2026, soit plus d'un mois d'exposition active pour les organisations n'ayant pas encore appliqué le Security Alert hors-cycle d'Oracle. La post-exploitation documentée inclut : création de backdoors persistantes, exfiltration de la base de données Oracle sous-jacente, accès aux intégrations SSO/LDAP, et dans certains cas déploiement de ransomware sur les systèmes interconnectés.

La surface d'attaque dépasse les seuls serveurs PeopleSoft. Dans les architectures d'entreprise typiques, le serveur d'application PeopleSoft est interconnecté à la base de données Oracle, aux annuaires Active Directory, aux systèmes de paie et à des API partenaires. Une compromission du serveur d'application ouvre un vecteur de pivot réseau vers l'ensemble de l'infrastructure d'entreprise. L'absence de PoC public ne doit pas induire un faux sentiment de sécurité : ShinyHunters a démontré sa capacité à monétiser rapidement les données exfiltrées via des reventes sur des forums cybercriminels et des tentatives d'extorsion directe des organisations victimes.

Les données PeopleSoft — données d'identité, numéros de sécurité sociale, informations bancaires pour les paies, dossiers académiques — ont une valeur marchande élevée sur les marchés de la cybercriminalité. Les organisations victimes font face à des risques multiples : sanctions RGPD pour notification tardive de violation, responsabilité vis-à-vis des personnes dont les données ont été exfiltrées, et impact réputationnel significatif dans le secteur éducatif notamment.

Recommandations immédiates

• Appliquer sans délai l'Oracle Critical Patch Update de juillet 2026 pour PeopleSoft PeopleTools 8.61 et 8.62 — Oracle CPU July 2026 Security Advisory
• Si le patch ne peut être appliqué immédiatement : restreindre l'accès réseau aux ports de service PeopleSoft aux seuls réseaux d'administration via ACL ou firewall
• Auditer les journaux d'accès HTTP des serveurs PeopleSoft depuis le 1er juin 2026 pour détecter des accès anormaux aux endpoints /psc/, /pspc/, /PSIGW/ sans session authentifiée
• Vérifier l'intégrité des comptes administrateurs PeopleSoft et des intégrations SSO/LDAP — rechercher des comptes créés ou modifiés après le 1er juin 2026
• IoC : adresses IP d'origine associées aux attaques ShinyHunters disponibles dans le rapport Google Cloud Threat Intelligence — July 2026 PeopleSoft Campaign (Mandiant)
• Pour les versions hors support (8.59, 8.60) : envisager une migration d'urgence ou un isolement complet du système