美国网络安全和基础设施安全局 (CISA) 发布警报，称 Oracle PeopleSoft 漏洞已被勒索软件组织利用

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年6月17日 19:20
北京

在小说阅读器读本章

去阅读

美国网络安全和基础设施安全局 (CISA) 发布了一项紧急警报，指出 Oracle PeopleSoft Enterprise PeopleTools 中的一个严重漏洞（编号为 CVE-2026-35273 ）正被积极利用。

该漏洞被归类为 CWE-306（关键功能缺少身份验证），允许未经身份验证的攻击者完全控制易受攻击的 PeopleSoft 环境。

根据美国网络安全和基础设施安全局 (CISA) 的说法，勒索软件攻击活动中已经发现了这一缺陷，这大大增加了其风险，并促使受影响的组织加快了补救期限。

Oracle PeopleSoft漏洞

CVE-2026-35273 是由于 PeopleTools 关键组件中身份验证执行不当而引起的，这使得远程攻击者能够完全绕过身份验证机制。

成功利用此漏洞可能导致系统完全被攻陷，未经授权即可访问敏感的企业数据，执行任意命令，并可能在企业网络内进行横向移动。

鉴于 PeopleSoft 在政府机构和大型企业的人力资源、财务和供应链运营中得到广泛应用，一旦遭到攻击，后果可能十分严重，包括运营中断和大规模数据泄露。

CISA 于 2026 年 6 月 12 日将该漏洞添加到其已知利用漏洞 (KEV) 目录中，强调了勒索软件运营商已确认的滥用行为。

威胁行为者很可能利用此漏洞作为初始访问途径，利用面向互联网的 PeopleSoft 实例部署勒索软件有效载荷或建立持久访问。

该漏洞的迅速武器化凸显了攻击者优先利用企业应用程序缺陷的趋势，这些缺陷无需身份验证即可直接访问高价值系统。

根据具有约束力的操作指令 (BOD) 26-04，鉴于此漏洞的严重性和其被积极利用的情况，联邦机构必须在 2026 年 6 月 15 日之前修复此漏洞。

CISA 已指示各组织立即应用供应商提供的缓解措施，并确保遵守其更新后的基于风险的补丁框架。

此外，建议各组织遵循 CISA 的取证分类要求来评估潜在的安全漏洞，尤其是在打补丁之前系统已暴露的情况下。

安全团队应评估所有 PeopleSoft 部署是否存在互联网暴露风险，并据此确定补丁或修复的优先级。如果无法采取缓解措施或无法及时实施，CISA 建议停止使用受影响的系统，直至其安全得到保障。

此外，监控异常的身份验证模式、意外的管理操作和异常的网络流量对于检测潜在的攻击企图也至关重要。

CVE-2026-35273 被纳入活跃的勒索软件攻击活动中，凸显了企业资源规划 (ERP) 平台作为高价值资产的持续攻击行为。

随着威胁行为者越来越多地利用身份验证绕过漏洞来获取即时访问权限，组织必须采取积极主动的漏洞管理策略，实施严格的访问控制，并保持持续监控，以减轻不断演变的威胁。