悪用されたOracle PeopleSoftの脆弱性、3つの欠陥をZDIが詳解
影響を受けるもの
- Oracle PeopleSoft Enterprise PeopleTools 8.61
- Oracle PeopleSoft Enterprise PeopleTools 8.62
CVE-2026-35273（脆弱性情報一覧で確かめる）
TrendAIのZero Day Initiative（ZDI）は10月27日、Oracle PeopleSoftで悪用されたCVE-2026-35273が、複数の構成要素にまたがる3つの欠陥から成ると公表しました。外部からサーバー自身に通信させる欠陥を入口に、内部管理機能へ到達し、不正なファイルの書き込みやコード実行へつなげる仕組みです。ZDIは欠陥ごとにCVEを付与するためOracleと調整しています。[1]
Oracleは6月10日に修正を案内し、対象としてPeopleTools 8.61と8.62を挙げています。深刻度はCVSS3.1で9.8、ネットワーク経由で認証なしにコードを実行されるおそれがあります。利用企業にはサポート対象版の維持と、セキュリティ更新の速やかな適用を推奨しています。[2]
MandiantとGoogle Threat Intelligence Groupは9月25日、ShinyHuntersによる悪用の再拡大を報告しました。攻撃者は管理機能へのアクセスを遮断するWAFの文字列判定をすり抜け、複数業種の数十システムに侵入用プログラムを設置しています。企業では修正の適用に加え、管理機能へのアクセスログ、不審なファイル、業務サーバーから到達できる認証情報を点検し、侵害が疑われる場合の調査と認証情報の更新を進める必要があります。[3]
担当者が確かめること
- 資産台帳と運用委託先にPeopleSoftの利用有無、PeopleToolsの版、CVE-2026-35273の修正適用状況を確認する。
- すぐに修正できない環境は、構成に応じたEnvironment Management Hubの停止・削除をOracleの案内と照合する。
- WebLogicのアクセスログで管理機能への外部アクセスや不審なPOST要求を調査し、全ノードの不審なファイルを点検する。
- 侵害が疑われる場合は証拠を保全し、PeopleSoftの実行アカウントから読めるデータベース接続情報などの更新を調査担当者と進める。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
