CVE-2026-35273: Vulnerabilidad Crítica en Oracle PeopleSoft PeopleTools Explotada Activamente

CVE-2026-35273: Fallo Crítico de Autenticación en Oracle PeopleSoft Enterprise PeopleTools

La Agencia de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) ha añadido CVE-2026-35273 a su catálogo de Known Exploited Vulnerabilities (KEV), confirmando la explotación activa en entornos reales de una vulnerabilidad de ausencia de autenticación para funciones críticas (CWE-306) en Oracle PeopleSoft Enterprise PeopleTools. Con una puntuación CVSS de 9.8 (CRÍTICA), este fallo representa una de las amenazas de mayor gravedad para organizaciones que dependen de esta plataforma ERP ampliamente utilizada en sectores gubernamentales, educativos y corporativos a nivel global.

Lo que eleva el nivel de urgencia de esta vulnerabilidad es la confirmación por parte de CISA de su uso conocido en campañas de ransomware, lo que implica que actores de amenaza avanzados están aprovechando este vector para comprometer infraestructuras críticas, desplegar cargas maliciosas y extorsionar a las víctimas.

Análisis Técnico

La vulnerabilidad está clasificada bajo CWE-306: Missing Authentication for Critical Function, lo que indica que determinadas funciones o endpoints críticos dentro de Oracle PeopleSoft Enterprise PeopleTools no requieren autenticación previa para ser invocados. Un atacante remoto y no autenticado puede acceder directamente a estas funcionalidades expuestas a través de la red, sin necesidad de credenciales válidas.

El vector de ataque es completamente remoto (AV:N), sin requerir interacción del usuario (UI:N) ni privilegios previos (PR:N), lo que lo convierte en un objetivo trivialmente explotable desde Internet. La explotación exitosa permite al atacante obtener el control total (takeover) de la instancia de PeopleSoft Enterprise PeopleTools, incluyendo acceso a datos sensibles de negocio, configuraciones del sistema y potencial movimiento lateral dentro de la infraestructura corporativa.

Características del vector de ataque

Vector de acceso: Red (remoto, sin autenticación)
Complejidad del ataque: Baja
Privilegios requeridos: Ninguno
Interacción del usuario: No requerida
Impacto en Confidencialidad / Integridad / Disponibilidad: Alto / Alto / Alto
Tipo CWE: CWE-306 — Missing Authentication for Critical Function

⚠️ Uso Confirmado en Ransomware

CISA ha confirmado que esta vulnerabilidad es conocida por ser utilizada en operaciones de ransomware. Esto significa que grupos de amenaza persistente avanzada (APT) y operadores de ransomware como servicio (RaaS) están explotando activamente este fallo para ganar acceso inicial a redes corporativas, escalar privilegios, exfiltrar datos y desplegar ransomware. Las organizaciones que ejecutan PeopleSoft expuesto a Internet deben considerar esta amenaza como de respuesta inmediata.

Impacto Potencial

El impacto de una explotación exitosa de CVE-2026-35273 puede ser devastador para las organizaciones afectadas:

Toma de control total del sistema PeopleSoft: El atacante puede obtener acceso administrativo completo a la plataforma ERP.
Exposición de datos sensibles: Información de recursos humanos, nóminas, datos financieros, registros de estudiantes (en entornos educativos) y contratos pueden quedar expuestos.
Compromiso de la cadena de autenticación: El acceso a PeopleTools puede permitir la extracción de credenciales almacenadas o la creación de usuarios administrativos fraudulentos.
Movimiento lateral: Desde PeopleSoft, los atacantes pueden pivotar hacia otras partes de la infraestructura interna.
Despliegue de ransomware: Con uso confirmado en ransomware, el riesgo de cifrado masivo de datos y extorsión es real e inmediato.
Incumplimiento normativo: La exposición de datos puede derivar en sanciones bajo regulaciones como GDPR, HIPAA o normativas sectoriales equivalentes.

Productos Afectados

La vulnerabilidad afecta a Oracle PeopleSoft Enterprise PeopleTools. Para obtener la lista exacta de versiones afectadas y los parches disponibles, es imprescindible consultar el advisory oficial de Oracle:

Se recomienda revisar también el registro oficial en el National Vulnerability Database (NVD) — CVE-2026-35273 para información actualizada sobre las versiones afectadas y métricas CVSS oficiales.

Recomendaciones y Mitigaciones

CISA, en el marco de la Binding Operational Directive (BOD) 26-04, exige que las agencias federales apliquen las mitigaciones indicadas por el fabricante o discontinúen el uso del producto si no existen mitigaciones disponibles. Para el sector privado, se recomienda seguir las mismas directrices con carácter de urgencia:

Acciones inmediatas

Aplicar el parche oficial de Oracle a la brevedad posible, consultando el advisory de seguridad de Oracle y los recursos disponibles en My Oracle Support.
Aislar o restringir el acceso a Internet de las instancias de PeopleSoft expuestas públicamente hasta que el parche sea aplicado.
Implementar controles de acceso perimetral: firewalls de aplicación web (WAF), listas de control de acceso (ACL) y segmentación de red para limitar el acceso a los endpoints de PeopleTools.
Revisar logs de acceso en busca de patrones anómalos: accesos sin autenticación a funciones críticas, creación de usuarios inesperados o exportaciones masivas de datos.
Ejecutar triaje forense conforme a los requisitos de Forensics Triage Requirements definidos en la BOD 26-04 de CISA para determinar si el sistema ya ha sido comprometido.
Activar protocolos de respuesta a incidentes si se detectan indicadores de compromiso (IoCs), incluyendo notificación a CISA y equipos CERT correspondientes.
Evaluar la exposición en servicios en la nube: si PeopleSoft se ejecuta en entornos cloud, seguir la guía específica de BOD 26-04 para servicios cloud.

Medidas de hardening adicionales

Deshabilitar todos los servicios y funcionalidades de PeopleTools que no sean estrictamente necesarios.
Aplicar autenticación multifactor (MFA) en todos los accesos administrativos a la plataforma.
Revisar y endurecer las políticas de autenticación y autorización de la plataforma PeopleSoft.
Mantener un inventario actualizado de todos los activos PeopleSoft expuestos a Internet.