ANÁLISIS
Oracle PeopleSoft, más de 100 organizaciones: el esquema MOVEit golpea a las universidades
Entre el 27 de mayo y el 9 de junio de 2026 ShinyHunters explotó una vulnerabilidad desconocida de Oracle PeopleSoft contra más de 100 organizaciones, dos tercios de ellas universidades, robando datos personales incluso sensibles. El análisis: el esquema MOVEit por tercera vez, el cúmulo en la educación y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de junio de 2026 · por cybercoverinsurance
El 10 de junio de 2026 Oracle publicó un aviso de seguridad extraordinario para CVE-2026-35273, una vulnerabilidad crítica en PeopleSoft, el software de gestión que muchas universidades y grandes organizaciones usan para personal, estudiantes y contabilidad. El fallo permitía ejecutar código a distancia sin autenticación. El grupo ShinyHunters ya lo explotaba desde el 27 de mayo: Mandiant avisó a más de 100 organizaciones, el 68% universidades y colleges, sobre todo en Estados Unidos.
Para quien asume el riesgo cyber el caso es el tercer ejemplo en pocos años del mismo esquema, tras MOVEit en 2023 y Cleo en diciembre de 2024: un software empresarial extendido, una vulnerabilidad desconocida, un grupo de extorsión que ataca a decenas de clientes a la vez.
Lo que se sabe
La vulnerabilidad. CVE-2026-35273 tiene una puntuación de gravedad de 9,8 sobre 10 y afecta al componente Environment Management de PeopleSoft PeopleTools, versiones 8.61 y 8.62; según Oracle, las versiones anteriores sin soporte probablemente también son vulnerables. No requiere autenticación ni interacción del usuario. Oracle publicó medidas de mitigación de emergencia y prometió el parche en breve (BleepingComputer).
La campaña. La actividad maliciosa duró del 27 de mayo al 9 de junio, antes del aviso de Oracle. Mandiant y el grupo de inteligencia de Google la atribuyeron a ShinyHunters y reconstruyeron la operación gracias también a servidores de los atacantes que habían quedado expuestos. Los atacantes comprimieron y sustrajeron datos y dejaron mensajes de extorsión en los sistemas afectados. Have I Been Pwned indexó unas 455.000 direcciones de correo únicas de los datos publicados, que según las informaciones incluyen direcciones, teléfonos, números de pasaporte e información sobre origen étnico y discapacidad. La Universidad de Nottingham es una de las primeras víctimas confirmadas (Security Affairs).
Las dimensiones. ShinyHunters afirmó haber sustraído datos de unas 300 instalaciones en más de 100 organizaciones, combinando fallos antiguos y la nueva vulnerabilidad. Dentro de las redes, los atacantes instalaron herramientas de control remoto camufladas como tráfico de Microsoft Azure y se desplazaron usando credenciales robadas o escritas en el código (BleepingComputer).
Lo que no se sabe. No se han hecho públicos el número final de organizaciones con datos sustraídos, cuántas pagaron ni el coste total de la campaña. ShinyHunters dijo que acababa de empezar a contactar con las víctimas.
El esquema MOVEit, por tercera vez
Un software, muchas víctimas, una fecha. Como con MOVEit y Cleo, la campaña afectó a decenas de clientes del mismo software en pocos días, antes de que existiera un parche. Para una cartera, es un evento de cúmulo con una fecha precisa y una sola causa.
El software de gestión como objetivo. PeopleSoft contiene datos de personal, estudiantes, nóminas y contabilidad. No es un sistema periférico: es el registro central de una organización. Un robo en este sistema produce siniestros de notificación y responsabilidad elevados para cada víctima.
Las versiones antiguas amplían el objetivo. Según Oracle, las versiones sin soporte probablemente también son vulnerables (Security Affairs). Las organizaciones con instalaciones obsoletas no recibirán un parche y deben recurrir a las mitigaciones o a la actualización.
El sector educativo
El 68% eran universidades. La campaña afectó sobre todo a universidades y colleges (Security Affairs). Es el segundo evento de 2026 que concentra el cúmulo en la educación, tras Instructure en mayo. Para quien asegura el sector, los proveedores de software comunes son pocos y muy extendidos.
Datos sensibles, obligaciones pesadas. Números de pasaporte, origen étnico y discapacidad son datos que aumentan las obligaciones de notificación y el riesgo de demandas. El coste por persona de una vulneración es mayor cuando los datos son de esta naturaleza.
Los centros tienen recursos limitados. Muchas universidades gestionan por su cuenta instalaciones complejas con equipos informáticos reducidos. La rapidez con la que se aplican las mitigaciones tras un aviso extraordinario es el control que decide si un centro se convierte en víctima.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Una vulnerabilidad desconocida de PeopleSoft fue explotada durante dos semanas por un grupo de extorsión contra más de 100 organizaciones, en su mayoría universidades, con robo de datos personales incluso sensibles.
En cuanto a la cartera, el caso PeopleSoft confirma la necesidad de saber qué software de gestión expuesto a internet usan los asegurados, sobre todo en sectores concentrados como la educación. Un escenario de explotación masiva de un software extendido, según el modelo de MOVEit, Cleo y PeopleSoft, es ya un evento recurrente que debe incluirse en las pruebas de cúmulo con frecuencia anual.