“無需憑據(jù)即可完全接管系統(tǒng)?！?月12日，美國(guó)網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA）將Oracle PeopleSoft企業(yè)組件的一個(gè)關(guān)鍵漏洞正式列入已知被利用漏洞（KEV）目錄，并確認(rèn)該漏洞已在真實(shí)的勒索軟件攻擊中被廣泛利用。這份緊急公告迅速傳遍企業(yè)IT部門，因?yàn)槭苡绊懙漠a(chǎn)品——Oracle PeopleSoft Enterprise PeopleTools——是支撐全球眾多大型組織人力資源、財(cái)務(wù)與供應(yīng)鏈管理的中樞。根據(jù)CISA的通報(bào)，該漏洞編號(hào)為CVE-2026-35273，允許未經(jīng)認(rèn)證的遠(yuǎn)程攻擊者通過缺失認(rèn)證的敏感功能，直接執(zhí)行管理員級(jí)操作，導(dǎo)致整套系統(tǒng)完全淪陷。

CVE-2026-35273屬于典型的認(rèn)證缺失漏洞，被劃分到通用弱點(diǎn)枚舉CWE-306類別，即“關(guān)鍵功能缺少認(rèn)證”。正常情況下，執(zhí)行修改系統(tǒng)配置、讀取核心數(shù)據(jù)等操作之前，應(yīng)該先驗(yàn)證請(qǐng)求者的身份。但這個(gè)漏洞意味著某個(gè)暴露在互聯(lián)網(wǎng)上的接口可以跳過這一步，攻擊者只需要找到這個(gè)入口，就能繞過所有登錄環(huán)節(jié)。Oracle PeopleSoft Enterprise PeopleTools原本是為企業(yè)資源規(guī)劃（ERP）應(yīng)用提供開發(fā)與運(yùn)行環(huán)境的框架，一旦其底層工具集出現(xiàn)認(rèn)證短路，就好比整棟大樓的門禁系統(tǒng)失效，外人可以徑直走進(jìn)財(cái)務(wù)室、人事檔案室和機(jī)房。

更令安全團(tuán)隊(duì)警覺的是，CISA明確指出該漏洞已被用于勒索軟件活動(dòng)。勒索組織慣用的手法是，先利用此類漏洞突破邊界，進(jìn)入內(nèi)網(wǎng)后橫向移動(dòng)，竊取敏感數(shù)據(jù)并最終部署加密載荷。在PeopleSoft環(huán)境中，成功的利用將使攻擊者能夠直接接觸到薪資、合同、員工記錄、供應(yīng)商清單等極具變現(xiàn)價(jià)值的資料，甚至可能通過系統(tǒng)間的信任關(guān)系擴(kuò)散至其他業(yè)務(wù)平臺(tái)。雖然目前外界還沒有看到完整的技術(shù)利用代碼公開，但CISA的確認(rèn)意味著攻擊者早已掌握現(xiàn)成的武器化工具，留給防御者的時(shí)間窗口極為緊迫。

為此，CISA根據(jù)《約束性操作指令》BOD 26-04的具體條款，為聯(lián)邦政府機(jī)構(gòu)設(shè)定了嚴(yán)格的修復(fù)期限：從6月12日列入KEV目錄起，到6月15日必須完成修補(bǔ)或緩解。該指令的核心邏輯是以風(fēng)險(xiǎn)為基礎(chǔ)，優(yōu)先處置那些已在攻擊中被實(shí)際利用的漏洞，而非僅憑通用威脅評(píng)分來排期。對(duì)私營(yíng)企業(yè)而言，雖然不受該指令的強(qiáng)制，但CISA強(qiáng)烈建議所有使用PeopleSoft的組織將同樣的時(shí)間表當(dāng)作自己的行動(dòng)紅線，立即行動(dòng)。

如果供應(yīng)商Oracle已經(jīng)發(fā)布了相關(guān)補(bǔ)丁，企業(yè)應(yīng)第一時(shí)間部署；倘若補(bǔ)丁尚未就緒，CISA給出的備選方案是停止使用受影響的系統(tǒng)，或者引入補(bǔ)償性控制來降低暴露面。這些補(bǔ)償措施可能包括將PeopleSoft服務(wù)從公共互聯(lián)網(wǎng)上剝離，實(shí)施嚴(yán)格的網(wǎng)絡(luò)層訪問限制，或通過應(yīng)用層防火墻攔截針對(duì)特定端口的請(qǐng)求。同時(shí)，安全團(tuán)隊(duì)需要全面盤點(diǎn)所有面向互聯(lián)網(wǎng)