Oracle advierte sobre vulnerabilidad crítica que hackers abusaron para vulnerar 100+ empresas

Oracle advirtió a sus clientes corporativos que existe una vulnerabilidad clasificada como crítica en su software PeopleSoft, que es utilizado por grandes empresas para gestionar nómina y recursos humanos, un día después de que un grupo de ciberdelincuentes se atribuyera explotar la falla como parte de una campaña de hackeo masivo.

La empresa publicó el aviso de seguridad el jueves después de que el grupo de hackers ShinyHunters reclamara haber vulnerado más de 100 organizaciones que utilizan servidores PeopleSoft.

Mandiant, la unidad de seguridad propiedad de Google que investiga ataques cibernéticos, advirtió en una entrada de blog que la nueva falla de Oracle es el mismo bug que el grupo ShinyHunters está abusando en su campaña de hackeo dirigida a clientes de PeopleSoft.

Oracle, que no ha lanzado un parche para la vulnerabilidad al momento de escribir, dijo en el aviso que el bug puede ser explotado a través de internet sin necesidad de ninguna autenticación, como una contraseña.

El gigante tecnológico recomendó que los clientes que utilicen software PeopleSoft apliquen sus mitigaciones para prevenir la explotación.

El miércoles, un miembro de ShinyHunters le dijo a TechCrunch que la pandilla comprometió las empresas al abusar de una falla sin parche en servidores PeopleSoft. El bug se conoce como un día cero porque la empresa afectada, en este caso Oracle, no tuvo tiempo de corregirlo antes de que fuera descubierto y explotado.

Mandiant confirmó que también ha notificado a más de "100 organizaciones globales", la mayoría de ellas en Estados Unidos, en un esfuerzo por restringir el acceso a sus sistemas potencialmente vulnerables. El grupo de ciberseguridad dijo que aproximadamente dos tercios de estas organizaciones están en educación superior, lo que se alinea con lo que ShinyHunters previamente reclamó.

"Mientras que varias organizaciones bloquearon exitosamente la actividad o remediaron las vulnerabilidades, otras experimentaron compromiso, resultando en datos robados siendo publicados en el Sitio de Fuga de Datos de ShinyHunters", escribió Mandiant.

Oracle no respondió a la solicitud de comentario de TechCrunch.