觀點 · 資訊分享

Oracle PeopleSoft 爆出免登入就能接管的 9.8 分漏洞，CISA 當天列入已遭利用清單

Oracle 針對 PeopleSoft PeopleTools 發出緊急安全警示（CVE-2026-35273），攻擊者不需帳號就能從網路遠端執行程式。CISA 在 6 月 12 日把它列入「已被實際利用」清單。

一句話看懂：Oracle PeopleSoft 的 PeopleTools 出現免登入就能遠端接管的嚴重漏洞，而且 CISA 已確認有人實際利用。

PeopleSoft 免登入遠端接管漏洞資訊圖卡：不需帳號、透過 HTTP 就能攻擊，而且已有人實際利用

先用白話講：這個漏洞是什麼？

想像公司大樓的後門，本來該有警衛查證件，結果這一道門根本沒人看守，只要知道位置就能走進去。

這個漏洞（CVE-2026-35273）就是這樣：PeopleSoft 的某個管理功能「忘了檢查你是誰」。官方分類是 CWE-306，意思是重要功能缺少身分驗證。

Oracle 針對 PeopleSoft Enterprise PeopleTools 發出安全警示（Security Alert，是在例行更新之外另外發的）
受影響版本是 8.61 與 8.62，出問題的元件是 Updates Environment Management
NVD 在 2026 年 6 月 11 日收錄，CVSS 3.1 分數 9.8（滿分 10）
美國 CISA 在 6 月 12 日把它加進已知遭利用漏洞清單（KEV），要求聯邦機關在 6 月 15 日前處理

依 NVD 與 Oracle 的描述：

弱點類型：CWE-306（關鍵功能缺少驗證）
攻擊向量：網路、攻擊複雜度低、不需權限、不需使用者操作（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）
Oracle 的處理方式寫在「PeopleSoft Security Alert」補丁說明文件，警示頁面本身只列出受影響版本，並要求立即採取緩解措施
Oracle 另外提醒：只有仍在 Premier Support 或 Extended Support 的版本才會提供警示的修補與緩解；不在支援期內的版本沒有測試過，但官方推測較舊版本也可能受影響
排查建議（我的整理，不是官方清單）：先確認自己用的 PeopleTools 版本，再看這套系統有沒有直接暴露在網際網路上

接案時偶爾會碰到客戶的老系統是大型套裝軟體，網站前端是我做的，但後面的人資或財務系統根本不是我能碰的。這種「別人家的核心系統」最麻煩，因為通常沒人定期看版本。

如果你是系統的窗口，現在最實在的動作是：問清楚公司有沒有在用 PeopleSoft、版本是多少、有沒有對外開放。有的話，直接把 Oracle 警示頁面丟給負責維運的人，並要求回報處理時間。別等月底的例行更新，這種免登入又已被利用的漏洞，等不起。

PeopleSoft 是什麼？

Oracle 的企業管理軟體，常用於人資、財務、學校行政等系統，PeopleTools 則是它底層的開發與管理平台。

我該怎麼處理？

Oracle 的警示指向「PeopleSoft Security Alert」補丁說明文件，請照該文件取得緩解措施與安裝指示。內容我沒有逐項核對，實際步驟請以 Oracle 官方文件為準。

已經有人在利用嗎？

CISA 已把它放進已知遭利用漏洞清單（KEV），NVD 記錄的加入日是 2026-06-12。CISA 的協調評估也標註為「正在被利用」。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。