企業の経理や人事、購買を回す基幹ソフト「Oracle E-Business Suite（EBS）」に見つかった重大な欠陥に、修正が出た直後から攻撃の動きが出ている。ログインなしで悪用できる欠陥で、すでに修正済みだ。そのため、狙われるのは更新を済ませていない環境になる。
EBSに探索攻撃、パッチ未適用が標的
10月27日に初観測
問題の欠陥は「CVE-2026-101767」。EBSの「Thin Client Framework」という部品にあり、重大度は最も高い「critical」とされている。見つけたのはセキュリティ企業Horizon3の研究者で、Oracleに報告した。Oracleは2026年10月の定例パッチで修正済みだ。
動きがあったのは、その直後だった。脅威情報を扱うセキュリティ企業Defused Cyberが10月27日朝、自社のおとりシステムで、この欠陥を狙った探索的な攻撃を記録したとX（旧Twitter）に投稿した。おとりシステムとは、EBSのふりをして攻撃者を呼び込み、動きを観察するための仕掛けのことだ。
「探索的」とは、攻撃者が穴を悪用できるかを試している段階を指す。どこかの企業への侵入が確認されたという意味ではない。The Registerは、実際に悪用が成功した例があるかどうかをOracleに尋ねたが、即時の回答はなかった。
それでも、パッチ公開からほとんど間を置かずに攻撃側が動き出した事実は重い。企業が社内で調整し、検証してから適用するという通常の手順を踏んでいる間にも、未適用のEBSは試される恐れがある。
認証なしで乗っ取りも
この欠陥が厄介なのは、IDやパスワードが要らない点だ。Horizon3の説明では、細工したリクエストを送るだけで、データベースに対して好きな命令を実行できる。SQLインジェクションと呼ばれる手口だ。
しかも被害はデータの閲覧にとどまらない。この欠陥は、EBSが動くサーバー上でOSの命令を実行されることにもつながる。いわば、外部の人間にサーバーを遠隔操作される状態だ。導入環境によっては、財務、給与、人事、調達のデータが影響を受けるという。
「自社のどのバージョンが該当するのか」「数値のスコアはいくつか」は、The Registerの報道では示されていない。ここは推測で埋められないため、Oracleの公式セキュリティアドバイザリー（10月の定例パッチの案内）で、影響を受けるバージョンと深刻度の数値を確認してほしい。
PeopleSoft攻撃は3脆弱性の連鎖
EBSが「これから起きうる被害」なら、Oracleの別の基幹ソフト「PeopleSoft」では、被害がすでに起きている。セキュリティ調査組織ZDI（TrendAI）の分析で、悪用されていたゼロデイ（修正が出る前に突かれる欠陥）「CVE-2026-35273」が、実は1つの欠陥ではなく、3つの脆弱性の組み合わせだったと分かった。
100組織超の侵害を主張
悪用していたのは、データ窃取と恐喝で知られる攻撃グループ「ShinyHunters」だ。5月ごろからこの欠陥をゼロデイとして悪用していた。
同グループは6月初めに100以上の組織を侵害したと主張した。Googleのセキュリティ部門Mandiantも、悪用とデータ窃取、金銭を要求する恐喝を確認している。被害は主に教育分野だった。
その後、被害は教育分野の外にも広がった。9月下旬にMandiantは、同グループが標的を大きく広げたと報告した。高等教育、テクノロジー、IT、医療、農業、運輸、政府といった分野が対象になり、世界の数十システムに「Webシェル」が仕込まれたという。Webシェルとは、侵入後に外から自由に操作できるよう残していく裏口のようなプログラムだ。
3つを組み合わせた攻撃
では、どうやって入ったのか。ZDIのBobby Gouldらは6月10日、3つの別々の脆弱性をOracleに報告した。Oracleはこれを1つのCVEとしてパッチを出した。ZDIは現在、Oracleと調整して、それぞれに別のCVEを割り当てる作業を進めている。
3つは次のように連なる。
PeopleSoftの連携機能「Integration Gateway」にあるSSRFと呼ばれる欠陥だ。サーバーをだまして、外から届かないはずの内部の部品へ要求を送らせる。6月に導入された確認の仕組みも、条件を満たす要求なら通り抜けられる。Oracleが初期設定で自分自身（localhost）からの要求を許可している点も、ZDIは指摘した。
内部の管理部品「PSEMHUB」で、外から指定したファイルの保存先を制御できる。これでWebシェルを置き、サーバーを遠隔操作できる。
同じくPSEMHUBが、信頼できないデータを中身を確かめずに読み込む。悪意あるXMLファイルを設定用のフォルダに置くと、サービスやシステムの再起動時に処理され、遠隔操作につながる恐れがある。
3つを組み合わせれば侵害が成立する。さらに、すでにWebシェルを置かれた環境では、パッチを適用しただけでは攻撃者を締め出せない恐れがある。EBSでは「まだ当てていない」ことが危険だが、PeopleSoftでは「もう当てた」だけでは足りない可能性がある。
今すぐ確認したいこと
EBSとPeopleSoftは、財務・人事・調達といった基幹業務で使う企業が多い。自社や取引先が使っているなら、次の順で確認したい。
- EBS：10月のOracle定例パッチ（CPU）が適用済みかを確認する。未適用なら優先して当てる。
- PeopleSoft：パッチ適用済みでも、Webシェルや不審なファイル書き込みの痕跡がないかを調べる。見る場所は今回の手口から絞り込める。
- PSEMHUBが動くサーバーで、見覚えのないファイルが書き込まれていないか
- PSEMHUBの設定用フォルダに、心当たりのないXMLファイルがないか
- Integration Gatewayへの不審なアクセスや、サーバー自身（localhost）を経由した要求の記録が残っていないか
- 共通：Oracleの公式アドバイザリーで、影響を受けるバージョンと深刻度を確かめる。
具体的な侵害の痕跡（IOC）の一覧は、今回参照した報道には含まれていない。MandiantやZDIが公開する情報、Oracleのアドバイザリーで最新の内容を確認したい。
出典
- The Register（2026年10月28日）：Oracle celebrates end of cybersecurity awareness month with quadruple trouble
Defused CyberのX投稿、Horizon3、ZDI（TrendAI）、Mandiantの各公式ページは、今回の取材範囲では確認できなかった。本稿は上記The Registerの報道による。侵害された数十システムの所在や、すべて除去されたかどうかも、報道の範囲では不明だ。
