ANALISI
Oracle PeopleSoft, oltre 100 organizzazioni: lo schema MOVEit colpisce le università
Tra il 27 maggio e il 9 giugno 2026 ShinyHunters ha sfruttato una vulnerabilità sconosciuta di Oracle PeopleSoft contro oltre 100 organizzazioni, per due terzi università, rubando dati personali anche sensibili. L'analisi: lo schema MOVEit per la terza volta, il cumulo sull'istruzione e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di giugno 2026 · di cybercoverinsurance
Il 10 giugno 2026 Oracle ha pubblicato un avviso di sicurezza straordinario per CVE-2026-35273, una vulnerabilità critica in PeopleSoft, il software gestionale usato da molte università e grandi organizzazioni per personale, studenti e contabilità. La falla permetteva di eseguire codice da remoto senza autenticazione. Il gruppo ShinyHunters la sfruttava già dal 27 maggio: Mandiant ha avvisato oltre 100 organizzazioni, per il 68% università e college, soprattutto negli Stati Uniti.
Per chi assume il rischio cyber il caso è il terzo esempio in pochi anni dello stesso schema, dopo MOVEit nel 2023 e Cleo a dicembre 2024: un software aziendale diffuso, una vulnerabilità sconosciuta, un gruppo di estorsione che colpisce decine di clienti nello stesso momento.
Cosa si sa
La vulnerabilità. CVE-2026-35273 ha un punteggio di gravità di 9,8 su 10 e riguarda il componente Environment Management di PeopleSoft PeopleTools, versioni 8.61 e 8.62; secondo Oracle anche le versioni precedenti non più supportate sono probabilmente vulnerabili. Non richiede autenticazione né interazione dell'utente. Oracle ha pubblicato misure di mitigazione d'emergenza e ha promesso la patch a breve (BleepingComputer).
La campagna. L'attività malevola è durata dal 27 maggio al 9 giugno, prima dell'avviso di Oracle. Mandiant e il gruppo di intelligence di Google l'hanno attribuita a ShinyHunters e hanno ricostruito l'operazione anche grazie a server degli attaccanti lasciati esposti. Gli attaccanti hanno compresso e sottratto dati e hanno lasciato messaggi di estorsione sui sistemi colpiti. Have I Been Pwned ha indicizzato circa 455.000 indirizzi email unici dai dati pubblicati, che secondo le notizie comprendono indirizzi, numeri di telefono, numeri di passaporto e informazioni su origine etnica e disabilità. L'Università di Nottingham è tra le prime vittime confermate (Security Affairs).
Le dimensioni. ShinyHunters ha dichiarato di aver sottratto dati da circa 300 installazioni in oltre 100 organizzazioni, combinando falle vecchie e la nuova vulnerabilità. Dentro le reti, gli attaccanti hanno installato strumenti di controllo remoto mascherati da traffico Microsoft Azure e si sono spostati usando credenziali rubate o scritte nel codice (BleepingComputer).
Cosa non è noto. Il numero finale di organizzazioni con dati sottratti, quante abbiano pagato e il costo complessivo della campagna non sono stati resi pubblici. ShinyHunters ha detto di aver appena iniziato a contattare le vittime.
Lo schema MOVEit, terza volta
Un software, molte vittime, una data. Come per MOVEit e Cleo, la campagna ha colpito decine di clienti dello stesso software in pochi giorni, prima che esistesse una patch. Per un portafoglio, è un evento di cumulo con una data precisa e un'unica causa.
Il software gestionale come bersaglio. PeopleSoft contiene dati su personale, studenti, stipendi e contabilità. Non è un sistema periferico: è il registro centrale di un'organizzazione. Un furto da questo sistema produce sinistri di notifica e responsabilità elevati per ogni vittima.
Le versioni vecchie allargano il bersaglio. Secondo Oracle anche le versioni non più supportate sono probabilmente vulnerabili (Security Affairs). Le organizzazioni con installazioni obsolete non riceveranno una patch e devono affidarsi alle misure di mitigazione o all'aggiornamento.
Il settore dell'istruzione
Il 68% erano università. La campagna ha colpito soprattutto università e college (Security Affairs). È il secondo evento del 2026 che concentra il cumulo sull'istruzione, dopo Instructure a maggio. Per chi assicura il settore, i fornitori di software comuni sono pochi e molto diffusi.
Dati sensibili, obblighi pesanti. Numeri di passaporto, origine etnica e disabilità sono dati che aumentano gli obblighi di notifica e il rischio di cause. Il costo per persona di una violazione è più alto quando i dati sono di questa natura.
Gli istituti hanno risorse limitate. Molte università gestiscono in proprio installazioni complesse con personale informatico ridotto. La velocità di applicazione delle mitigazioni dopo un avviso straordinario è il controllo che decide se un istituto diventa vittima.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Una vulnerabilità sconosciuta in PeopleSoft è stata sfruttata per due settimane da un gruppo di estorsione contro oltre 100 organizzazioni, in maggioranza università, con il furto di dati personali anche sensibili.
Sul fronte del portafoglio, il caso PeopleSoft conferma la necessità di sapere quali software gestionali esposti su internet usano gli assicurati, soprattutto in settori concentrati come l'istruzione. Uno scenario di sfruttamento di massa di un software diffuso, sul modello MOVEit, Cleo e PeopleSoft, è ormai un evento ricorrente da inserire nei test di cumulo con frequenza annuale.