Oracle ha emitido una alerta de seguridad urgente para solucionar una vulnerabilidad crítica de ejecución remota de código (CVE-2026-35273) que afecta a PeopleSoft Enterprise PeopleTools. Este fallo, ubicado en el componente de gestión del entorno de actualizaciones, posee una puntuación CVSS v3.1 de 9.8, lo que subraya su extrema gravedad y la necesidad inmediata de aplicar correcciones en los entornos empresariales.

Oracle ha emitido una Alerta de Seguridad de emergencia para solucionar una vulnerabilidad crítica de ejecución remota de código (CVE-2026-35273) que afecta a PeopleSoft Enterprise PeopleTools.

La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8, lo que resalta su gravedad y la necesidad urgente de remediación en todos los entornos empresariales.

El fallo reside en el componente Updates Environment Management de PeopleSoft PeopleTools y puede ser explotado remotamente a través de HTTP.

No requiere autenticación ni interacción del usuario, lo que lo hace particularmente peligroso para los sistemas expuestos a Internet.

Oracle confirmó que una explotación exitosa podría permitir a los atacantes ejecutar código arbitrario, lo que podría conducir al compromiso total del sistema.

Se ha reconocido a los investigadores de seguridad de TrendAI Zero Day Initiative, incluidos Bobby Gould, Lucas Miller y Minh Giang, por descubrir y reportar la vulnerabilidad.

Sus hallazgos indican que la complejidad del ataque es baja, lo que aumenta la probabilidad de intentos de explotación activa en el entorno real. La vulnerabilidad afecta a las versiones 8.61 y 8.62 de PeopleSoft Enterprise PeopleTools.

Actualización de Seguridad de Emergencia de Oracle

Oracle también advirtió que las versiones anteriores o no soportadas pueden verse afectadas, aunque no hayan sido probadas formalmente.

Dado que los parches solo se lanzan para versiones soportadas bajo Soporte Premier o Extendido, las organizaciones que utilicen sistemas obsoletos enfrentan un riesgo adicional si no se actualizan.

Desde un punto de vista técnico, la vulnerabilidad permite ataques basados en red sin requerir ningún privilegio.

Afecta la confidencialidad, integridad y disponibilidad a un nivel alto, lo que significa que los atacantes podrían acceder a datos sensibles, modificar configuraciones del sistema o interrumpir los servicios por completo.

En un escenario real, una instancia de PeopleSoft expuesta públicamente podría verse comprometida para desplegar cargas útiles maliciosas o facilitar el movimiento lateral dentro de una red corporativa.

Oracle ha publicado parches y guías de mitigación como parte de la Alerta de Seguridad y recomienda encarecidamente tomar medidas inmediatas.

Tú y tu organización deberíais priorizar la aplicación de las actualizaciones disponibles, restringir el acceso externo a los entornos de PeopleSoft y monitorear los sistemas en busca de actividad sospechosa.

Mantener los sistemas en versiones soportadas también es fundamental para garantizar el acceso continuo a las actualizaciones de seguridad.

Este problema subraya la amenaza constante que representan las vulnerabilidades RCE no autenticadas en software empresarial ampliamente implementado.

Dado el papel de PeopleSoft en la gestión de operaciones comerciales críticas como RR.HH. y finanzas, la explotación de este fallo podría tener consecuencias significativas en la seguridad de los datos y la operatividad.

Se aconseja a las organizaciones tratar la CVE-2026-35273 como un riesgo de alta prioridad y tomar medidas rápidas para asegurar su infraestructura.

Fuentes:
https://cybersecuritynews.com/oracle-security-update/