Oracle PeopleSoft : faille critique exploitée 14 jours avant le correctif, 100 organisations touchées

Oracle a corrigé le 10 juin 2026 une faille critique dans PeopleSoft exploitée depuis deux semaines par ShinyHunters, touchant plus de 100 organisations.

La séquence révèle une faille de process. Entre le 27 mai et le 9 juin 2026, des serveurs Oracle PeopleSoft ont été compromis à grande échelle. Le 9 juin, le groupe d’extorsion ShinyHunters publiait déjà des données volées sur son site de fuite. Ce n’est que le lendemain, 10 juin, qu’Oracle a réagi avec une alerte de sécurité publiée hors cycle, en dehors de son calendrier trimestriel habituel. Le 11 juin, Mandiant publiait son analyse technique. Le 12, l’agence américaine CISA ajoutait CVE-2026-35273 à son catalogue des vulnérabilités activement exploitées.

Pendant près de deux semaines, les organisations utilisant PeopleSoft n’avaient aucun moyen officiel de se protéger. La faille était exploitée, le correctif n’existait pas. Oracle a confirmé, dans son alerte, une exploitation active et recommandé une application immédiate du patch, une formulation rare chez l’éditeur.

Score 9,8 sur 10, aucune authentification requise

Week-end du 15 août 2026 en Île-de-France : derniers jours à La Villette et Saint-Germain

CVE-2026-35273 est une vulnérabilité de type SSRF, Server-Side Request Forgery, classée CWE-918. Elle obtient un score CVSS v3.1 de 9,8, le maximum réservé aux failles les plus critiques. La raison : elle réunit le pire scénario possible. Exploitable à distance, sans authentification, sans interaction de l’utilisateur, sur un simple accès réseau en HTTP^[1].

La faille se loge dans le composant Updates Environment Management, l’Environment Management Hub de PeopleSoft, baptisé EMHub. Les attaquants ont visé deux points d’accès précis : /PSEMHUB/hub et /PSIGW/HttpListeningConnector. En détournant la logique de requêtes côté serveur, une SSRF permet de forcer le serveur à émettre des requêtes vers des ressources internes ou contrôlées par l’attaquant. Dans ce cas, aboutir à une exécution de code à distance complète. Prendre le contrôle de la machine sans posséder d’identifiants.

PeopleSoft gère la paie, les ressources humaines, les finances et la scolarité de millions d’employés et d’étudiants. Une prise de contrôle de ces serveurs équivaut à un accès direct aux données les plus sensibles d’une organisation. C’est précisément ce que la faille a permis.

Source : National Vulnerability Database

100 organisations visées, 68 % dans l’enseignement supérieur

Le Google Threat Intelligence Group a identifié plus de 100 organisations présentant des points d’accès vulnérables. 68 % d’entre elles appartiennent à l’enseignement supérieur^[2]. L’université de Nottingham, au Royaume-Uni, a confirmé une compromission touchant près de 500 000 étudiants actuels et anciens. Les serveurs de ressources humaines et de paie sont devenus des portes d’entrée pour ShinyHunters, groupe d’extorsion également suivi sous les noms Bling Libra, UNC6040 et UNC6240.

ShinyHunters a ciblé l’Environment Management Hub plutôt que la surface d’attaque plus large de PeopleSoft, selon FieldEffect, qui a confirmé cette tactique le 11 juin 2026. Le groupe est financièrement motivé, lié aux violations majeures de 2024 et 2025 impliquant le vol de credentials Snowflake, Ticketmaster, AT&T et Salesforce. Il opère dans la même orbite que Scattered Spider.

La vulnérabilité a été remontée à Oracle par la Zero Day Initiative de Trend Micro. Les attaquants ont pris une longueur d’avance. Oracle a publié son alerte officielle avec une recommandation immédiate d’application du correctif, signe de gravité.

Pourquoi cette faille redéfinit la menace ERP

Fenêtre d'exposition de 14 jours

Les organisations PeopleSoft n'ont eu aucun moyen de se protéger entre le 27 mai et le 10 juin 2026. ShinyHunters a exploité cette fenêtre pour compromettre plus de 100 cibles, dont 68 % dans l'enseignement supérieur.

Score critique maximal sans authentification

CVE-2026-35273 obtient 9,8/10 au CVSS parce qu'elle est exploitable à distance, par HTTP, sans identifiants ni interaction utilisateur. L'attaquant prend le contrôle complet du serveur de paie ou RH.

Cible privilégiée : enseignement supérieur

L'université de Nottingham a confirmé la compromission de données de 500 000 étudiants. Les serveurs PeopleSoft concentrent paie, RH, finances et scolarité, des données sensibles et monnayables pour les groupes d'extorsion.

Deuxième zero-day Oracle ERP en 8 mois

Après CVE-2025-61882 exploité par Cl0p en août 2025, CVE-2026-35273 confirme une tendance : les ERP Oracle deviennent des cibles frontales pour les groupes de ransomware et d'extorsion. Oracle réagit, mais après coup.

Cyber Resilience Act à quelques semaines

Pour les RSSI européens, l'affaire tombe à un moment précis : l'entrée en application du Cyber Resilience Act va rendre obligatoire le signalement rapide de ce type de faille. La pression réglementaire monte.

Deuxième zero-day critique Oracle ERP en huit mois

CVE-2026-35273 est la deuxième faille critique exploitée comme zero-day sur un ERP Oracle en huit mois environ. Au second semestre 2025, le groupe de ransomware Cl0p, suivi par CrowdStrike sous le nom GRACEFUL SPIDER, exploitait CVE-2025-61882, une faille CVSS 9,8 d’exécution de code à distance non authentifiée dans Oracle E-Business Suite. Selon CrowdStrike, la première exploitation connue a eu lieu autour du 9 août 2025. Oracle a publié son alerte d’urgence hors cycle le 4 octobre 2025^[2].

Le contexte est défavorable pour la surface d’attaque des ERP Oracle. Deux failles majeures, deux correctifs publiés après coup, deux campagnes d’extorsion menées pendant des semaines sans parade officielle. Pour les directions de la sécurité en France et en Europe, l’affaire arrive à un moment précis : à quelques semaines de l’entrée en application du Cyber Resilience Act, qui rendra le signalement de ce type de faille obligatoire.

CISA et agences californiennes mobilisées

Le California Cybersecurity Integration Center a publié le 10 juin 2026 un avis de sécurité classant CVE-2026-35273 comme vulnérabilité critique nécessitant une action immédiate. L’avis souligne que la faille ne nécessite aucune interaction utilisateur et impacte fortement la confidentialité, l’intégrité et la disponibilité^[4]. Oracle considère cette vulnérabilité comme un risque prioritaire élevé et encourage fortement les clients PeopleSoft à agir immédiatement.

Le 12 juin, la CISA a ajouté la faille à son catalogue KEV, Known Exploited Vulnerabilities. Les agences fédérales américaines ont trois semaines pour appliquer le correctif. Le vecteur SSVC publié par CISA-ADP indique une exploitation active, une capacité d’automatisation totale et un impact technique total^[3].

Pour les RSSI, la leçon est double. D’abord, la fenêtre d’exploitation avant correctif peut être longue, même chez un éditeur de la taille d’Oracle. Ensuite, les ERP de gestion, historiquement perçus comme des systèmes internes protégés par périmètre, sont désormais des cibles frontales. Les groupes d’extorsion savent que ces serveurs concentrent les données les plus sensibles et les plus monnayables. La sécurité des progiciels de gestion redéfinit la priorité des RSSI pour 2026.