A CISA incluiu uma vulnerabilidade crítica do Oracle PeopleSoft no seu catálogo de falhas exploradas, após confirmar uso real em ataques com ransomware. A falha é CVE-2026-35273 no Oracle PeopleSoft Enterprise PeopleTools. O problema permite que invasores remotos executem funções críticas sem credenciais válidas.
Na prática, a ausência de autenticação em operações sensíveis pode abrir caminho para o controle total de sistemas vulneráveis. O PeopleSoft atende áreas como recursos humanos, finanças e operações, o que amplia o potencial de exposição de dados internos e interrupções operacionais.
Segundo o alerta, a falha já foi explorada em campanhas de ransomware. O risco é elevado porque a exploração pode ocorrer remotamente contra instâncias expostas à internet, sem necessidade de acesso físico.
Medidas e cronograma de mitigação
A CISA adicionou a CVE-2026-35273 ao catálogo KEV em 12 de junho de 2026. A data limite de correção para órgãos federais civis dos EUA ficou para 15 de junho de 2026, evidenciando a urgência.
Organizações que utilizam o PeopleSoft devem aplicar as correções da Oracle o quanto antes. Se a atualização não for possível, recomenda-se reduzir a exposição dos sistemas afetados e empregar controles compensatórios.
Entre na conversa da comunidade