要点
- Oracle の業務ソフト PeopleSoft には、ログインなしで外からサーバーを乗っ取れる欠陥があり、Google（GTIG・Mandiant）によると、恐喝グループ ShinyHunters が5月から悪用している（ZDI によると、中身は3つの欠陥の組み合わせ）。
- 直すためのパッチは6月に出ているが、それより前に入り込まれた組織は、パッチとは別に侵入の跡を調べる必要がある。
- 同じ Oracle の業務システム E-Business Suite でも、10月に直したばかりの重大な欠陥が探られ始めた。
何が起きたか
Oracle が PeopleSoft の欠陥 CVE-2026-35273 の対策を出したのは、2026年6月10日だ。Google の脅威分析チーム（GTIG）と Mandiant によると、その前の5月27日から6月9日にかけて、ShinyHunters がこの欠陥を使っていた。狙いは主に大学だった。直す手段が出る前の悪用なので、ゼロデイ（直す手段がまだ無いうちに悪用される欠陥）にあたる。GTIG は、IP アドレスから欠陥を抱えているおそれがあると見た、100を超える組織に注意を促した。
9月25日には、Mandiant が攻撃の再開を報告した。対象は医療、運輸、政府、IT などに広がり、世界の数十のシステムに Web シェル（外から命令を送り込むための裏口のファイル）が置かれたという。
10月下旬には、この欠陥を Oracle に報告した Zero Day Initiative（ZDI）の Bobby Gould 氏が中身を説明した。ZDI によると、一つの欠陥に見えたものは、次の3つの欠陥の組み合わせだった。
- 外部とのやり取りを受け持つ部品（PSIGW）の欠陥。 外から、サーバー自身に好きな宛先へ要求を送らせることができる。
- 内部の管理用の部品（PSEMHUB）の欠陥。 好きな場所に好きなファイルを書き込める。
- 同じく PSEMHUB の欠陥。 置かれた設定ファイルを読み込むときに、中に仕込まれた命令を実行してしまう。
ZDI の説明では、3つをつなぐカギは PSEMHUB の受け付けの仕組みにある。PSEMHUB は、許可リストに載った相手だけを受け付ける。ところがそのリストには、初めからサーバー自身が載っている。サーバーに代わりの要求を出させる 1 の欠陥と組み合わさると、この許可リストは守りとして働かなくなる。
パッチの状況: Oracle は3つをまとめて CVE-2026-35273 という一つの番号で直した。ZDI は「3つの別々の欠陥を報告した」と書き、一つずつに番号を付けるよう Oracle と話し合っている。ただ、6月のパッチで3つそれぞれがどう直されたのかは、ZDI の報告に書かれていない。Mandiant は6月のパッチを当てるよう勧めている。
日本の利用者への影響
GTIG と Mandiant の報告は、日本もアジアも名指ししていない。ただ、攻撃は国を選ばずに世界のシステムを狙っている。日本で PeopleSoft を使っている組織も、同じように危ないと考えたほうがよい。
今すぐやること
- 社内に PeopleSoft があるか、版が PeopleTools 8.61・8.62 か、担当者か委託先に確かめる。
- 6月10日の Oracle のパッチが当たっているか確かめる。Mandiant は、通信を見張る機械（WAF）で道をふさいでもパッチの代わりにはならない、としている。
- パッチがすぐに当てられないなら、管理用の機能（PSEMHUB）を止めるか消す。インターネットからもつながらないようにする。これは Oracle と Mandiant の勧めである。
- パッチを当てたあとも、5月以降に侵入された跡がないか調べてもらう。裏口のファイルが見つかったら、サーバーは乗っ取られたものとして扱う。そこから届くパスワードもすべて替える（Mandiant の勧め）。
- E-Business Suite を使っているなら、10月の定期パッチを急いで当てる。
背景
Mandiant によると、ShinyHunters は、盗んだデータをさらすと脅して金を取る手口を繰り返してきた。人事や給与のシステムには個人の情報がまとめて入っており、狙われやすい。
E-Business Suite の欠陥 CVE-2026-101767 は Horizon3 が見つけた。ログインせずに、データベースを操作できてしまう。最後はサーバーで命令を実行できる、と Horizon3 は説明している。Oracle は10月20日の定期パッチで直した。The Register によると、Defused Cyber は10月27日に、自社のおとりのシステムがこの欠陥を狙った探りを受けたと報告した。
技術者向けの詳細
- PeopleSoft CVE-2026-35273: CVSS 3.1 は 9.8。認証なしで悪用できる。対象は PeopleTools 8.61・8.62。2026年6月10日に Oracle が臨時のアラートを出した。
- ZDI の3つの番号: ZDI-CAN-31816（PSIGW の SSRF。
HttpListeningConnectorからHttpTargetConnectorを通る）、ZDI-CAN-31818（PSEMHUB のExecuteProcessActivityCommandに、ファイルの置き場所を外から指定させてしまう欠陥）、ZDI-CAN-31817（PSEMHUB のXMLDecoderで、信頼できないデータを読み込む欠陥）。validateClientが参照するallowedhosts.propertiesには、初期設定で localhost が入っている。 - ログで見るところ（Mandiant）:
/PSEMHUB/hubへの POST。9月からは、WAF を避けるために/%50SEMHUB/のような URL エンコードした形も使われている。ほかに、/PSIGW/HttpListeningConnectorへの外部からの POST。ロードバランサーの後ろにある WebLogic ノードは、すべて調べる。 - ファイルで見るところ:
<PS_CFG_HOME>/webserv/<domain>/applications/peoplesoft/PSEMHUB.war/とPORTAL.war/の中に、覚えのない.jsp・.jspx・.exeがないか（例:x.jsp、u.jsp、tunnel.jsp、Ple64.exe）。envmetadata/transactions/に覚えのないものがないか。<docroot>/envmetadata/data/environment/の.xmlが最近書き換えられていないか。 - ホストで見るところ: WebLogic の Java プロセスから
sh・cmd.exeが起動していないか。/tmp/meshagent*や、覚えのない MeshCentral エージェントがないか。大きな.tar・.zstが作られていないか。rsync・sshpassが使われていないか。 - 通信先（Mandiant 9月）:
5.199.162.157、104.219.234.138、162.219.30.165、winmanage-me.network。ほかの IoC は GTIG と Mandiant の報告を参照。 - 侵入されていた場合は、
psappsrv.cfgの DB 接続情報、Integration Broker の認証情報、クラウドの認証情報を替える。WebLogic が root や SYSTEM で動いているホストを先に調べる。 - E-Business Suite CVE-2026-101767: CVSS 9.8。12.2.3〜12.2.15 が対象。
/OA_HTML/AppsTCFServerに欠陥がある。直すには2026年10月の CPU を当てる（My Oracle Support Note KA923）。それまでのあいだ Horizon3 は、この servlet を URL ファイアウォールの許可リストから外し、Web 層を信頼できるネットワークだけに絞るよう勧めている。