企业系统在发生严重故障之前通常会悄然发生故障。
PeopleSoft 是一种许多团队不再每天关注的系统，因为它已经存在多年了。它保存人力资源记录、工资工作流程、学生记录、财务工作流程、身份路径、采购数据、集成和运营历史记录。它位于感觉稳定的流程后面，因为组织依赖它们。
这种稳定性可以隐藏暴露。
2026 年 6 月，Hacker News 报道 ShinyHunters 利用 Oracle PeopleSoft 零日攻击入侵大学。 Google Cloud 的 Mandiant 团队报告称，该活动针对教育部门，并在 Oracle 发布其咨询之前涉及对 Oracle PeopleSoft 环境的利用。 Oracle 于 2026 年 6 月 10 日发布了 CVE-2026-35273 安全警报。
本文使用公开报告和供应商指南。它不包含任何受害者环境的私人知识。
教训很清楚。传统企业平台需要主动安全审查、可达表面测试、补丁验证和证据。运行工资单或学生记录的系统不能被视为后台基础设施。
公开报道的内容
Oracle 将 CVE-2026-35273 描述为 Oracle PeopleSoft Enterprise PeopleTools 组件更新环境管理中的漏洞。 Oracle 表示支持的 8.61 和 8.62 版本受到影响。甲骨文还表示，该漏洞无需身份验证即可远程利用，并可能导致远程代码执行。
Rapid7 将该问题总结为一个严重的未经身份验证的 SSRF 到 RCE 漏洞，CVSS 评分为 9.8。 Rapid7 还指出，在 Oracle 6 月 10 日发布公告之前，Mandiant 在 2026 年 5 月 27 日至 6 月 9 日期间观察到了利用情况。
Google Cloud 的 Mandiant 团队表示，他们以中等信心评估该活动与 ShinyHunters 重叠。 Mandiant 表示，它已通知了 100 多个全球组织，这些组织的 IP 地址与潜在易受攻击的 PeopleSoft 端点相关。公开报告称，大部分被通知的组织都在高等教育领域。
Hacker News 报道说，大学是受影响的组织之一。其他报告描述了勒索电子邮件和数据盗窃索赔。来自犯罪集团的索赔需要谨慎。它们可以是精确的、膨胀的或旨在产生压力的。防御性答案保持不变：验证暴露、保存日志、修补、搜索和证明关闭。
进入路径的重要性
CVE-2026-35273 的严重部分是路径的形状。当存在易受攻击的情况时，远程攻击者不需要普通的用户凭据。 Oracle 描述了无需身份验证的远程利用。这使得该问题属于最高商业风险类别。
PeopleSoft 环境通常包含用于门户、集成、服务端点和管理工作流程的面向 Internet 的组件。在大型组织中，同一平台可以连接人力资源、学生系统、财务、身份、消息传递和报告。单个远程代码执行路径可以为攻击者提供高价值系统中的第一个位置。
公开技术摘要指出 PeopleTools 更新环境管理和未经身份验证的路径可能会导致服务器受损。一些安全研究描述了通过暴露的 PeopleSoft 端点的 SSRF 链。确切的漏洞利用细节对响应者来说很重要，但领导层需要更大的事实：可访问的 PeopleSoft 表面可以成为获取敏感机构数据的途径。
这将补丁管理变成了业务控制问题。
损坏情况如何
公开报告没有给出一个明确的普遍损害数字。这是正常的。 ERP 和高等教育事件很少在最初几周内产生简单的数字。真正的损害来自许多渠道。
数据暴露是第一个风险。 PeopleSoft 部署可以保存员工数据、学生数据、工资数据、福利数据、地址、身份记录、角色分配和内部工作流程记录。每个机构都有自己的配置，因此防御者必须验证范围内的实际数据类。
运营中断是第二个风险。如果攻击者获得服务器级别的访问权限，他们可能会破坏身份验证、业务工作流程、报告、集成或作业处理。即使薪资、注册、采购或财务方面的短暂中断也会给整个组织带来压力。
第三个风险是敲诈勒索。攻击者经常使用部分数据样本、屏幕截图、内部名称和截止日期来强制付款或注意。当外部压力开始时，公司可能仍在调查。
监管和通报工作是第四个风险。当可能涉及员工、学生、客户或财务记录时，法律团队需要证据。他们需要时间表、受影响的系统、数据类、日志、遏制步骤和补救证明。
团队和合作伙伴的担忧是第五个风险。为客户运行企业系统、处理受监管数据或支持大型合作伙伴的公司将面临问题。是否存在易受攻击的版本？可以连接互联网吗？打补丁了吗？是否检查了利用情况？日志是否保留？下游系统是否受到影响？
系统所有者需要能够通过审查的答案。
为什么旧的企业平台仍然暴露在外
企业应用程序通常具有较长的生命周期。 PeopleSoft 部署可以承受领导层变更、供应商变更、网络重新设计、云迁移和多年的项目积压。这创造了一种危险的模式。
该组织知道平台很重要。该组织也将其视为难以触及。
打补丁需要测试。测试需要所有者。业主需要营业窗口。商业窗口稀缺。集成依赖于旧的行为。一些端点被暴露的原因无人记得。文档不完整。最初部署该系统的团队已经消失了。攻击者喜欢这种差距。
他们扫描可到达的端点。他们观看建议。他们在利用和补救之间的窗口期移动。他们向缺乏快速证据的机构施加压力。
安全领导者需要将旧的企业系统转变为托管界面。这意味着库存、版本清晰度、端点暴露审查、补丁演练、外部验证、日志保留和特定于平台的事件手册。
每个 PeopleSoft 所有者都应该回答的难题
第一个问题是可达性。可以从 Internet、合作伙伴网络、VPN 网络和内部用户网络访问哪些 PeopleSoft 端点？哪些是通过负载均衡器、反向代理、WAF 或云边缘公开的？
第二个问题是版本清晰度。哪些 PeopleTools 版本在生产、暂存、灾难恢复和被遗忘的克隆中处于活动状态？不受支持的版本会产生一个单独的问题，因为安全指南可能会假定受支持的基线。
第三个问题是元件暴露。更新环境管理、集成代理、管理中心或旧连接器的暴露方式是否会产生 SSRF、管理或代码执行风险？
第四个问题是日志深度。团队能否从可疑的利用窗口中检查 Web 访问日志、应用程序日志、反向代理日志、EDR、流程执行、出站连接、数据库访问和身份事件？
第五个问题是遏制。如果怀疑存在泄露，团队是否可以在不中断工资或运营的情况下隔离受影响的层、轮换凭证、审查服务帐户、检查计划作业、验证文件完整性并检查出站流量？
第六题是证明。修补后，团队能否证明存在漏洞的路由已关闭？它可以显示补丁级别、测试的端点、日志审查、凭证轮换和业务签核吗？
这些问题将恐惧转化为行动。
响应者应该看哪里
ERP 事件响应需要比普通 Web 应用程序审查更广泛的视角。 PeopleSoft 层可能包括 Web 服务器、应用程序服务器、流程调度程序、数据库连接、文件传输路径、批处理作业、身份集成和报告工具。攻击者可以接触一层，然后通过普通的管理路径移动。
从边缘日志开始。查看受影响 PeopleSoft 端点的反向代理日志、WAF 日志、负载平衡器日志、VPN 日志和 Web 访问日志。查找异常请求模式、罕见路径、意外方法、可疑用户代理、源 IP 转移和高错误探测。
转到应用程序活动。查看 PeopleSoft 日志以了解异常组件访问、更新环境管理相关错误、意外管理活动、更改的配置文件以及异常进程调度程序行为。
检查主机。查看文件更改、新创建的脚本、可通过 Web 访问的工件、命令执行、存档工具、出站传输工具、服务更改、计划作业、新的本地帐户以及应用程序堆栈中的异常子进程。
检查身份路径。如果 PeopleSoft 与 LDAP、Active Directory、SSO、SAML、数据库帐户或服务帐户进行通信，则假设这些路径可能需要审查。服务器泄露可能会暴露连接字符串、缓存的凭据、密钥材料和集成机密。
仔细检查数据库。查找异常读取、大量导出、新数据库用户、更改的授权、大量查询以及正常作业之外的访问。与 DBA 团队协调，以便在清理之前保留证据。
这些步骤创造了创纪录的领导力需求。它们还可以防止常见的故障：在修补软件的同时错过修补之前进入的入侵者。
分段决定爆炸半径
相同的漏洞可能会在两个组织中产生截然不同的结果。
在一个环境中，PeopleSoft 服务器仅访问数据库和一小组所需的服务。管理访问权限受到限制。出站互联网流量受到控制。服务帐户是有范围的。日志被保留。备份是分开的。妥协仍然会带来伤害，但爆炸半径是有限的。
在另一种环境中，PeopleSoft 层可以访问广泛的内部网络、旧文件共享、域控制器、备份控制台、报告服务器和管理工具。服务帐户拥有广泛的权限。出境交通已开通。日志很快就会过期。第一个立足点可能会成为企业事件。
细分不是表面的。这是应用程序事件和组织危机之间的区别。
对于企业平台，SToFU Systems 着眼于两个方向的可达性。什么可以到达平台？妥协后平台能达到什么目标？第二个问题通常揭示了真正的商业风险。
ERP 审核后的证据包
强有力的证据包应该足够简单以供领导层使用，并且足够详细以供安全审查。
它应包括受影响的产品和版本、可通过互联网访问的端点、补丁或升级记录、缓解步骤、审查的日志、检查的利用指标、轮换凭证、可从受影响层访问的内部系统、分段更改、复测结果和剩余风险。
它还应该包括决策边界。如果暂存克隆超出范围，请说出来。如果日志没有覆盖整个窗口，请说明。如果一项集成仍需要未来修复，请说出来。清晰的界限可以保护公司，因为它们可以防止过度要求。
这就是法律安全性和技术清晰度的结合点。公司应该避免戏剧性的陈述和含糊的安慰。它应该展示事实。
SToFU Systems 如何应对此类风险SToFU Systems 将企业应用风险视为一个完整的轮廓。应用程序本身很重要。公开的端点、身份路径、集成、云和网络路由、服务帐户、数据库连接和操作恢复也是如此。
对于类似 PeopleSoft 的平台，我们的工作可以包括：
- 门户、网关、管理端点和集成路由的外部暴露映射。
- 根据供应商建议和已知被利用的漏洞列表进行版本和组件审查。
- 在授权和适当的情况下进行安全的可利用性验证。
- 跨 Web、应用程序、身份、EDR、网络和数据库层的日志审查计划。
- 可疑暴露后的凭证和服务帐户审查。
- ERP、HR、财务、学生和报告系统的细分审查。
- 对修补、路由更改、端点限制和监控的修复支持。
- 为领导层、审计师、保险公司、合作伙伴和采购团队复测和证据包装。
输出很有用，因为它不会停在漏洞名称处。它显示了组织是否暴露、路径是否封闭以及支持答案的证据。
当审查的轮廓足够清晰时，SToFU Systems 安全认证可以将该封闭转变成具有指定范围、审查日期、补救状态和有效期的证书。当团队要求提供处理敏感操作的平台已经过审查的证据时，该证书会有所帮助。
认证应涵盖哪些内容
对于 ERP 轮廓，认证应该是精确的。有用的范围可能包括 PeopleSoft 互联网暴露、PeopleTools 版本状态、受影响的组件、网关路径、集成代理暴露、服务帐户、数据库访问、分段、日志保留、备份可达性和复测证据。
证书还应说明材料变更触发器。新的面向互联网的端点、版本升级、主要集成、云迁移或新的身份提供商连接都可以改变轮廓。当这些触发因素被写下来时，回顾仍然有用。
对于投资者或客户的尽职调查来说，这一点很重要。团队可以看到组织所做的不仅仅是应用补丁。它审查了承载敏感操作的系统，验证了关闭并保存了证据。
该证书还为内部团队提供了一种共享语言。安全部门可以指出调查结果和修复措施。 IT 可以指出版本和端点。法律可以指出范围。领导层可以指出一项过时的审查。销售人员可以回答团队的问题，而无需让工程师参与每一份调查问卷。
这种协调在平静的几周和压力期间都很有价值。当市场等待明确答案时，它可以防止组织争论事件的含义。
暴露 ERP 系统的响应清单
从 Oracle 指导开始。针对受影响的受支持版本应用安全更新和缓解说明。如果部署运行不受支持的版本，请构建紧急升级路径。
减少暴露。从行政和管理组件中删除互联网可访问性。限制网关访问。将敏感端点置于严格控制的路径后面。
保存日志。捕获 Web 日志、代理日志、应用程序日志、EDR 数据、防火墙日志、身份日志、数据库日志和出站网络遥测。公开报告指出了咨询之前的活动，因此审查窗口需要包括 2026 年 5 月下旬和 2026 年 6 月上旬（如果适用）。
追捕处决。检查可疑进程创建、新文件、意外计划作业、出站连接、远程管理工具、Web shell、凭据访问和异常数据库读取。
轮换公开的凭据。如果服务器可能受到威胁，请轮换服务帐户、集成机密、管理凭据、数据库凭据以及可从受影响层访问的密钥。
验证修复。不要仅仅依赖补丁票。确认版本。确认端点响应已更改。确认漏洞利用路径失败。确认监控处于活动状态。
准备商业答案。法律、领导层、客户和合作伙伴需要清晰的语言：哪些内容受到影响、哪些内容可以访问、哪些内容已检查、哪些内容已修复以及存在哪些证据。
团队信号
ERP 安全现在是一个销售和领导问题。当一家公司无法证明核心企业系统是最新的、受监控的和分段的时，它可能会失去数周的动力。
Oracle PeopleSoft 的案例表明，旧的假设很快就会变成活跃的风险。看起来稳定的系统仍然可以携带可到达的未经身份验证的代码执行路径。当暴露持续时，补丁可能会存在。供应商咨询可以解决软件问题，而客户仍需要证明不存在任何妥协。
最后的证明是许多组织失去速度的地方。
SToFU Systems 帮助团队从建议转向证据。检查轮廓。关闭路径。验证修复情况。保留记录。系统准备就绪后验证结果。
这就是一家认真的公司如何保护运营并不断前进。
SToFU Systems
来源- The Hacker News: ShinyHunters Exploits Oracle PeopleSoft Zero-Day to Breach Universities
- Oracle: Security Alert Advisory - CVE-2026-35273
- Google Cloud: ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit
- Rapid7: Active Exploitation of Oracle PeopleSoft Zero-Day CVE-2026-35273
- Horizon3.ai: CVE-2026-35273 Oracle PeopleSoft PeopleTools Unauthenticated Remote Code Execution Vulnerability
