Vulnerabilidade crítica da Oracle é explorada em campanhas de ransomware

A CISA incluiu a vulnerabilidade crítica CVE-2026-35273 no catálogo KEV, relacionada ao Oracle PeopleSoft Enterprise PeopleTools.
A falha permite que invasores remotos executem funções sem credenciais válidas, potencialmente levando ao controle completo do sistema vulnerável.
O PeopleSoft é utilizado em áreas como recursos humanos, finanças e operações, o que aumenta o risco de vazamento de dados e interrupções.
A exploração já foi observada em campanhas de ransomware e pode ocorrer remotamente contra instâncias expostas à internet; a CISA destacou a urgência do problema.
A CVE-2026-35273 foi adicionada ao KEV em 12 de junho de 2026; órgão federal civil dos Estados Unidos tem até 15 de junho de 2026 para aplicar as correções, com recomendações de mitigações caso a atualização não seja possível.

A CISA incluiu uma vulnerabilidade crítica do Oracle PeopleSoft no seu catálogo de falhas exploradas, após confirmar uso real em ataques com ransomware. A falha é CVE-2026-35273 no Oracle PeopleSoft Enterprise PeopleTools. O problema permite que invasores remotos executem funções críticas sem credenciais válidas.

Na prática, a ausência de autenticação em operações sensíveis pode abrir caminho para o controle total de sistemas vulneráveis. O PeopleSoft atende áreas como recursos humanos, finanças e operações, o que amplia o potencial de exposição de dados internos e interrupções operacionais.

Segundo o alerta, a falha já foi explorada em campanhas de ransomware. O risco é elevado porque a exploração pode ocorrer remotamente contra instâncias expostas à internet, sem necessidade de acesso físico.

Medidas e cronograma de mitigação

A CISA adicionou a CVE-2026-35273 ao catálogo KEV em 12 de junho de 2026. A data limite de correção para órgãos federais civis dos EUA ficou para 15 de junho de 2026, evidenciando a urgência.

Organizações que utilizam o PeopleSoft devem aplicar as correções da Oracle o quanto antes. Se a atualização não for possível, recomenda-se reduzir a exposição dos sistemas afetados e empregar controles compensatórios.