ANALYSES
Oracle PeopleSoft, plus de 100 organisations : le schéma MOVEit frappe les universités
Entre le 27 mai et le 9 juin 2026, ShinyHunters a exploité une vulnérabilité inconnue d'Oracle PeopleSoft contre plus de 100 organisations, aux deux tiers des universités, en dérobant des données personnelles y compris sensibles. L'analyse : le schéma MOVEit pour la troisième fois, le cumul dans l'éducation et des questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de juin 2026 · par cybercoverinsurance
Le 10 juin 2026, Oracle a publié une alerte de sécurité exceptionnelle pour CVE-2026-35273, une vulnérabilité critique dans PeopleSoft, le progiciel de gestion que de nombreuses universités et grandes organisations utilisent pour le personnel, les étudiants et la comptabilité. La faille permettait d'exécuter du code à distance sans authentification. Le groupe ShinyHunters l'exploitait déjà depuis le 27 mai : Mandiant a prévenu plus de 100 organisations, dont 68 % d'universités et de colleges, surtout aux États-Unis.
Pour qui porte le risque cyber, le cas est le troisième exemple en quelques années du même schéma, après MOVEit en 2023 et Cleo en décembre 2024 : un logiciel d'entreprise répandu, une vulnérabilité inconnue, un groupe d'extorsion qui touche des dizaines de clients au même moment.
Ce que l'on sait
La vulnérabilité. CVE-2026-35273 a un score de gravité de 9,8 sur 10 et concerne le composant Environment Management de PeopleSoft PeopleTools, versions 8.61 et 8.62 ; selon Oracle, les versions antérieures non prises en charge sont probablement vulnérables aussi. Elle ne nécessite ni authentification ni interaction de l'utilisateur. Oracle a publié des mesures d'atténuation d'urgence et promis un correctif rapidement (BleepingComputer).
La campagne. L'activité malveillante s'est déroulée du 27 mai au 9 juin, avant l'alerte d'Oracle. Mandiant et le groupe de renseignement sur les menaces de Google l'ont attribuée à ShinyHunters et ont reconstitué l'opération notamment grâce à des serveurs des attaquants laissés exposés. Les attaquants ont compressé et exfiltré des données et laissé des messages d'extorsion sur les systèmes touchés. Have I Been Pwned a indexé environ 455 000 adresses électroniques uniques issues des données publiées, qui comprendraient des adresses, des numéros de téléphone, des numéros de passeport et des informations sur l'origine ethnique et le handicap. L'université de Nottingham figure parmi les premières victimes confirmées (Security Affairs).
L'ampleur. ShinyHunters a déclaré avoir dérobé des données sur environ 300 installations dans plus de 100 organisations, en combinant d'anciennes failles et la nouvelle vulnérabilité. Dans les réseaux, les attaquants ont installé des outils de contrôle à distance déguisés en trafic Microsoft Azure et se sont déplacés avec des identifiants volés ou inscrits dans le code (BleepingComputer).
Ce que l'on ne sait pas. Le nombre final d'organisations dont les données ont été dérobées, le nombre de celles qui ont payé et le coût total de la campagne n'ont pas été rendus publics. ShinyHunters a indiqué venir de commencer à contacter les victimes.
Le schéma MOVEit, pour la troisième fois
Un logiciel, de nombreuses victimes, une date. Comme pour MOVEit et Cleo, la campagne a touché des dizaines de clients du même logiciel en quelques jours, avant l'existence d'un correctif. Pour un portefeuille, c'est un événement de cumul avec une date précise et une cause unique.
Le progiciel de gestion comme cible. PeopleSoft contient des données sur le personnel, les étudiants, la paie et la comptabilité. Ce n'est pas un système périphérique : c'est le registre central d'une organisation. Un vol dans ce système produit pour chaque victime des sinistres de notification et de responsabilité élevés.
Les anciennes versions élargissent la cible. Selon Oracle, les versions non prises en charge sont probablement vulnérables aussi (Security Affairs). Les organisations dotées d'installations obsolètes ne recevront pas de correctif et doivent s'en remettre aux mesures d'atténuation ou à une mise à niveau.
Le secteur de l'éducation
68 % étaient des universités. La campagne a surtout touché des universités et des colleges (Security Affairs). C'est le deuxième événement de 2026 qui concentre le cumul sur l'éducation, après Instructure en mai. Pour qui assure ce secteur, les fournisseurs de logiciels communs sont peu nombreux et très répandus.
Données sensibles, obligations lourdes. Les numéros de passeport, l'origine ethnique et le handicap sont des données qui alourdissent les obligations de notification et le risque de contentieux. Le coût par personne d'une violation est plus élevé quand les données sont de cette nature.
Les établissements ont des ressources limitées. De nombreuses universités exploitent elles-mêmes des installations complexes avec des équipes informatiques réduites. La rapidité d'application des mesures d'atténuation après une alerte exceptionnelle est le contrôle qui décide si un établissement devient une victime.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Une vulnérabilité inconnue de PeopleSoft a été exploitée pendant deux semaines par un groupe d'extorsion contre plus de 100 organisations, en majorité des universités, avec le vol de données personnelles y compris sensibles.
Côté portefeuille, le cas PeopleSoft confirme la nécessité de savoir quels progiciels de gestion exposés à internet utilisent les assurés, surtout dans des secteurs concentrés comme l'éducation. Un scénario d'exploitation de masse d'un logiciel répandu, sur le modèle de MOVEit, Cleo et PeopleSoft, est désormais un événement récurrent à intégrer chaque année dans les tests de cumul.