El 10 de junio de 2026, Oracle emitió un parche para mitigar la vulnerabilidad crítica CVE-2026-35273 (CVSS 3.1: 9.8) que afecta al componente Updates Environment Management de Oracle PeopleSoft Enterprise PeopleTools en sus versiones 8.61 y 8.62. Esta falla permite a un atacante remoto, sin necesidad de autenticación, comprometer completamente el servidor enviando solicitudes HTTP manipuladas, lo que deriva en una Ejecución Remota de Código (RCE). La vulnerabilidad ha sido catalogada por CISA en su repositorio de Vulnerabilidades Conocidas Explotadas (KEV), confirmando la explotación activa (in the wild) a nivel global impulsada por escaneos masivos e ingeniería inversa de los parches de Oracle.
Análisis Técnico y Vectores de Riesgo
El riesgo para corporaciones e instituciones gubernamentales (Banca, Educación, Salud) en Latinoamérica es extremadamente alto debido a la frecuente exposición de portales de autoservicio de PeopleSoft a Internet.
- Vector de Ataque y Mecánica (RCE): La debilidad radica en una falla crítica de validación de entrada o control de acceso en un endpoint del módulo de gestión de actualizaciones (PUM). Un atacante dirige solicitudes HTTP (usualmente POST) hacia las URIs del módulo en el servidor de aplicaciones (ej. WebLogic). El proceso vulnerable procesa la carga útil y ejecuta código subyacente con los privilegios del usuario del sistema operativo (ej. psadm2 o oracle en Linux).
- Ausencia de Autenticación: Al no requerir autenticación previa, el ataque evade los controles de identidad tradicionales como MFA o SSO.
- Post-Explotación Observada (Web Shells): La evidencia técnica documenta que los atacantes utilizan este RCE para instalar web shells en formato JSP dentro de los directorios públicos del servidor web, garantizando acceso persistente.
- Movimiento Lateral y Robo de Datos: Tras establecer la web shell, el objetivo principal de los actores de amenazas (incluyendo Corredores de Acceso Inicial y afiliados de Ransomware) es robar credenciales de bases de datos alojadas en los archivos de configuración (ej. psappsrv.cfg) para exfiltrar información sensible del ERP/HCM.
Plan de Mitigación Operativa y Respuesta
- Contención Perimetral Inmediata: Identificar todas las instancias operando en las versiones 8.61 o 8.62. Si el servicio es accesible desde Internet, restringir el acceso a través de firewalls (NGFW) permitiendo únicamente conexiones desde IPs corporativas o redes de administración.
- Despliegue del Parche Oficial: Aplicar de forma prioritaria el Critical Patch Update de Oracle correspondiente a la versión instalada en una ventana de mantenimiento de emergencia.
- Caza de Amenazas (Threat Hunting) Conductual: Dado que no existen Indicadores de Compromiso (IOCs) estáticos fiables (las IPs son efímeras), la detección debe ser conductual:
- Monitoreo HTTP: Buscar en los WAF/Balanceadores un volumen inusual de peticiones dirigidas a los URIs de Updates Environment Management que retornen códigos 200 o 500 desde IPs desconocidas.
- Monitoreo de Procesos (EDR): Identificar si los procesos de Java (java.exe, psappserv.exe) están invocando de forma anómala intérpretes de comandos (cmd.exe, bash) o herramientas de red (curl, wget).
- Integridad de Archivos (FIM): Alertar sobre la creación de archivos con extensiones .jsp, .jspx o .class en los directorios de despliegue de WebLogic que no coincidan con ventanas de mantenimiento programadas.
