CISA ha incluido en su catálogo de vulnerabilidades explotadas una falla crítica en Oracle PeopleSoft (CVE-2026-35273). Este fallo permite que atacantes no autenticados obtengan el control total de los sistemas afectados debido a la falta de autenticación en funciones críticas.

CISA ha añadido una vulnerabilidad crítica de Oracle PeopleSoft, seguida como CVE-2026-35273, a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), confirmando que está siendo explotada activamente.

El fallo afecta a Oracle PeopleSoft Enterprise PeopleTools y permite que atacantes no autenticados obtengan el control total sobre los sistemas afectados.

La vulnerabilidad está clasificada bajo CWE-306 (Falta de Autenticación para Funciones Críticas), lo que indica un fallo al hacer cumplir los mecanismos de autenticación para operaciones sensibles.

Este fallo permite a atacantes remotos ejecutar funciones críticas sin credenciales válidas, lo que conduce efectivamente a la toma de control completa del sistema.

Explotación de la Vulnerabilidad 0-Day de Oracle PeopleSoft

Según CISA, la vulnerabilidad ya ha sido explotada en campañas de ransomware, lo que genera preocupaciones significativas para las organizaciones que dependen de entornos PeopleSoft.

Aunque los métodos detallados de explotación técnica siguen siendo limitados, la naturaleza del fallo sugiere que los atacantes pueden acceder remotamente a funcionalidades administrativas expuestas en internet.

Oracle PeopleSoft Enterprise PeopleTools se utiliza ampliamente para aplicaciones de planificación de recursos empresariales (ERP), lo que lo convierte en un objetivo de alto valor para los actores de amenazas.

Una explotación exitosa podría permitir a los atacantes acceder a datos financieros, de recursos humanos y operativos sensibles, desplegar cargas útiles de ransomware y establecer un acceso persistente dentro de las redes empresariales.

CISA añadió la CVE-2026-35273 a su catálogo KEV el 12 de junio de 2026, con una fecha límite de remediación del 15 de junio de 2026, bajo la Directiva Operativa Obligatoria (BOD) 26-04.

La directiva enfatiza la prioridad de las actualizaciones de seguridad basadas en el riesgo, particularmente para vulnerabilidades explotadas activamente en ataques.

Se recomienda encarecidamente a las organizaciones aplicar los parches y mitigaciones proporcionados por el proveedor de inmediato. Si los parches no están disponibles, CISA recomienda dejar de usar los sistemas afectados o implementar controles compensatorios para reducir la exposición.

Tú y tu equipo de seguridad también deberíais evaluar los activos orientados a internet para identificar instancias vulnerables de PeopleSoft y restringir el acceso no autorizado.

Además del parcheo, CISA insta a las organizaciones a seguir sus "Requisitos de Triaje Forense" para detectar posibles compromisos.

Los indicadores de explotación pueden incluir actividad administrativa inusual, intentos de acceso no autorizados y cambios inesperados en el sistema. El monitoreo de red y el análisis de registros son fundamentales para identificar signos tempranos de intrusión.

Dado el uso confirmado en campañas de ransomware, como defensor deberías revisar también las estrategias de respaldo, asegurar la integridad de los datos e implementar controles de segmentación para limitar el movimiento lateral.

La autenticación de múltiples factores (MFA) y los controles de acceso estrictos pueden reducir aún más la superficie de ataque. Sin embargo, es posible que no mitiguen completamente este fallo específico dada su naturaleza de elusión de autenticación.

La rápida explotación de la CVE-2026-35273 resalta la tendencia actual de los actores de amenazas de atacar vulnerabilidades de software empresarial para obtener acceso inicial.

Se insta a las organizaciones que utilizan Oracle PeopleSoft a tratar este problema como una prioridad máxima y tomar medidas inmediatas para evitar un posible compromiso.