文章总结： CISA发布紧急警报称OraclePeopleSoft的CVE-2026-35273身份验证绕过漏洞正被勒索软件组织积极利用，该漏洞允许未授权攻击者完全控制系统。CISA已要求联邦机构在6月15日前修复，建议组织立即应用补丁、评估系统暴露情况并监控异常活动，以防范数据泄露和运营中断风险。 综合评分： 87 文章分类： 漏洞分析,威胁情报,应急响应,云安全,数据安全

美国网络安全和基础设施安全局 (CISA) 发布警报，称 Oracle PeopleSoft 漏洞已被勒索软件组织利用

原创

网络安全9527 网络安全9527

安全圈的那点事儿

2026年6月17日 19:20 北京

在小说阅读器读本章

去阅读

美国网络安全和基础设施安全局 (CISA) 发布了一项紧急警报，指出 Oracle PeopleSoft Enterprise PeopleTools 中的一个严重漏洞（编号为 CVE-2026-35273 ）正被积极利用。

该漏洞被归类为 CWE-306（关键功能缺少身份验证），允许未经身份验证的攻击者完全控制易受攻击的 PeopleSoft 环境。

根据美国网络安全和基础设施安全局 (CISA) 的说法，勒索软件攻击活动中已经发现了这一缺陷，这大大增加了其风险，并促使受影响的组织加快了补救期限。

Oracle PeopleSoft漏洞

CVE-2026-35273 是由于 PeopleTools 关键组件中身份验证执行不当而引起的，这使得远程攻击者能够完全绕过身份验证机制。

成功利用此漏洞可能导致系统完全被攻陷，未经授权即可访问敏感的企业数据，执行任意命令，并可能在企业网络内进行横向移动。

鉴于 PeopleSoft 在政府机构和大型企业的人力资源、财务和供应链运营中得到广泛应用，一旦遭到攻击，后果可能十分严重，包括运营中断和大规模数据泄露。

CISA 于 2026 年 6 月 12 日将该漏洞添加到其已知利用漏洞 (KEV) 目录中，强调了勒索软件运营商已确认的滥用行为。

威胁行为者很可能利用此漏洞作为初始访问途径，利用面向互联网的 PeopleSoft 实例部署勒索软件有效载荷或建立持久访问。

该漏洞的迅速武器化凸显了攻击者优先利用企业应用程序缺陷的趋势，这些缺陷无需身份验证即可直接访问高价值系统。

根据具有约束力的操作指令 (BOD) 26-04，鉴于此漏洞的严重性和其被积极利用的情况，联邦机构必须在 2026 年 6 月 15 日之前修复此漏洞。

CISA 已指示各组织立即应用供应商提供的缓解措施，并确保遵守其更新后的基于风险的补丁框架。

此外，建议各组织遵循 CISA 的取证分类要求来评估潜在的安全漏洞，尤其是在打补丁之前系统已暴露的情况下。

安全团队应评估所有 PeopleSoft 部署是否存在互联网暴露风险，并据此确定补丁或修复的优先级。如果无法采取缓解措施或无法及时实施，CISA 建议停止使用受影响的系统，直至其安全得到保障。

此外，监控异常的身份验证模式、意外的管理操作和异常的网络流量对于检测潜在的攻击企图也至关重要。

CVE-2026-35273 被纳入活跃的勒索软件攻击活动中，凸显了企业资源规划 (ERP) 平台作为高价值资产的持续攻击行为。

随着威胁行为者越来越多地利用身份验证绕过漏洞来获取即时访问权限，组织必须采取积极主动的漏洞管理策略，实施严格的访问控制，并保持持续监控，以减轻不断演变的威胁。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈的那点事儿 网络安全9527 网络安全9527《美国网络安全和基础设施安全局 (CISA) 发布警报，称 Oracle PeopleSoft 漏洞已被勒索软件组织利用》