OracleのPeopleSoftに深刻度9.8のゼロデイ。100超の組織が標的に
Oracleが人事・給与管理ソフトウェアPeopleSoftの脆弱性について緊急セキュリティ勧告を公開した。認証不要でリモートからコードを実行できる脆弱性 CVE-2026-35273 が、すでに大規模な攻撃に使われている。被害組織の7割近くが大学だ。
パッチなし、認証なし、防御なし
Oracleが6月10日に公開したセキュリティ勧告によると、PeopleSoft Enterprise PeopleTools（バージョン8.61および8.62）の環境管理コンポーネントに、リモートコード実行が可能な脆弱性が存在する。CVSSスコアは9.8。機密性・完全性・可用性のすべてが「高」と評価された。パスワードもユーザー操作も不要、HTTPでネットワークにアクセスできれば攻撃が成立する。
Oracleはサポート契約者向けに緩和策を案内しているが、正式なパッチが広く利用可能かどうかは不透明なままだ。サポート契約がなければ緩和策のドキュメントにすらアクセスできない。脆弱性の報告者はTrendAI Zero Day Initiative（旧Trend Micro ZDI）のボビー・グールド（Bobby Gould）氏、ルーカス・ミラー（Lucas Miller）氏、ミン・ザン（Minh Giang）氏の3名。
PeopleSoftは人事管理・給与計算・学生情報管理などを担う大企業・大学向けの統合業務ソフトウェアで、製造業、公共部門、高等教育機関を中心に世界中で導入されている。日本でもPeopleSoft Campus Solutionsとして高等教育向けに展開されており、影響は国内の組織にも及びうる。
ShinyHuntersの「量産型」攻撃
6月9日、Oracleの勧告に先立ち、サイバー犯罪グループShinyHuntersがPeopleSoftサーバーを利用する100以上の組織に侵入したと主張し、盗んだデータの一部をリークサイトに公開した。
Google傘下のMandiantが6月11日に公開した分析によると、ShinyHuntersの攻撃活動は5月27日から6月9日にかけて確認されており、CVE-2026-35273 を悪用したものだとされる。Oracleの勧告は6月10日。対策より攻撃者の方が先だった。
Mandiantは100以上の組織に対して事前通知を行った。その68%が高等教育機関、大学や短大だ。アメリカの組織が大半を占めるが、グローバルに展開された攻撃だとしている。
5月27日 攻撃インフラ構築 ShinyHuntersがMeshCentralで C2サーバーを設置、偽装ドメイン稼働 5月27日 〜6月9日 100以上の組織を標的に攻撃 被害組織の68%が大学。 認証不要のゼロデイを悪用 6月9日 盗んだデータをリークサイトに公開 ShinyHuntersが犯行を主張。 学生の個人情報を含む記録が流出 6月10日 Oracle緊急セキュリティ勧告を公開 CVE-2026-35273（CVSS 9.8）の存在を認め 緩和策を案内。正式パッチは不透明 6月11日 Mandiantが攻撃分析を公開 攻撃インフラの詳細と侵害の技術的手口、 緊急対策を含む包括的レポートを公開 |
一部の組織は事前のブロックや対策に成功したが、対応が間に合わなかった組織もある。Mandiantは、それらの組織から盗まれたデータがShinyHuntersのリークサイトに公開されたことを確認している。
Azureを偽装し、内部を横断する
Mandiantが分析した攻撃インフラの詳細は、ShinyHuntersの手口の計画性を浮き彫りにしている。
攻撃者は5月27日に5台の連番IPアドレス上にMeshCentral（オープンソースのリモート管理ツール）をインストールし、C2（指揮統制）サーバーを構築した。MeshCentralのエージェントファイルには meshagent64-azure-ops.exe というMicrosoft Azureを連想させるファイル名が付けられ、通信先のドメインも azurenetfiles.net と名付けられた。正規のクラウドサービスに見せかける偽装だ。
内部に侵入した後は、PeopleSoftの設定ファイルやWebLogicの構成を調べて内部ネットワークの構造を把握。よくある管理者パスワードを片端から試すSSH攻撃で他のサーバーに横展開した。最終的に README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT という脅迫文をWebLogicとプロセス・スケジューラのディレクトリに配置し、盗んだデータを圧縮してリークサイトに転送している。
ある大学に送られたとされる脅迫メッセージには、全キャンパスにわたる学生の氏名、自宅住所、電話番号、メールアドレス、生年月日、性別、民族、在籍状況、GPA、専攻、学籍番号を含む数十万件の記録を奪取したと書かれていた。
PeopleSoftを使っている場合に何をすべきか
Mandiantが推奨する緊急対策は明確だ。
環境管理ハブ（PSEMHUB）サービスの無効化が最優先となる。これが難しい場合は、/PSEMHUB/* および /PSIGW/HttpListeningConnector への外部アクセスをファイアウォールレベルで遮断する。いずれも管理用の機能であり、通常のユーザー操作には影響しない。
加えて、WebLogicのアクセスログで外部IPからの不審なPOSTリクエストを確認すること、PeopleSoftサーバーからの外部向けSMB通信（TCPポート445）を監視すること、Webディレクトリ内に不審な.jspファイルやREADMEファイルが配置されていないかを確認することが求められる。
なぜ大学ばかり狙われるのか
ShinyHuntersの攻撃対象は、「同じソフトウェアを使う組織を一網打尽にする」パターンで一貫している。2025年にはSalesforceの連携アプリ経由で200以上の企業に侵入した。教育テック企業Instructureが運営する学習管理システムCanvasでは8800以上の教育機関、約2億7500万人のユーザーデータが漏洩。Instructureは二度の侵入を受けた末に身代金を支払い、データの返却と引き換えにした。
| Salesforce | Canvas | PeopleSoft | |
|---|---|---|---|
| 時期 | 2025年 | 2026年 4〜5月 | 2026年 5〜6月 |
| 攻撃の入口 | サードパーティ 連携の悪用 | アカウント 脆弱性 | 製品本体の ゼロデイ |
| 被害対象 | 企業中心 | 教育機関 8800校以上 | 大学中心 100組織以上 |
| 被害規模 | 200以上の 企業 | 約2億7500万人 のユーザー | 進行中 |
| 身代金 | 不明 | 支払い済み | 要求中 |
高等教育機関が狙われやすい理由は構造的だ。学生情報を一括管理するシステムは学内のさまざまなポータルからアクセスされる必要があり、インターネットに公開されやすい。一方で、企業と比べてセキュリティ投資や専任人員が限られる機関も多い。そこに認証不要のゼロデイが突かれれば、一つの脆弱性で何十もの大学が同時に被害を受ける。
今回の事態は、ShinyHuntersの手口がさらにエスカレートしていることも示している。前回まではサードパーティ連携の悪用が起点だったが、PeopleSoftへの攻撃は製品本体のゼロデイだ。間に入るサードパーティすら不要になった。
Oracleの対応と、繰り返されるパターン
Oracleはこの件について取材に応じていない。
重なるのは、2025年春のOracle Cloud情報漏洩疑惑だ。ハッカーが600万件の認証情報を窃取したと主張し、複数のセキュリティ企業がデータの信憑性を確認したにもかかわらず、Oracleは公に侵害を否定し続けた。Oracleが一部の顧客に非公開で通知していたことが後に判明し、集団訴訟にまで発展している。
今回は脆弱性の存在自体は認め、勧告も出した。だがパッチの提供時期が不透明なまま、攻撃は進行中だとされる。PeopleSoftの利用組織は、Oracleの正式な修正を待たずに、Mandiantが示した緩和策を即座に適用する必要がある。
参照元: Oracle Security Alert Advisory - CVE-2026-35273
他参照: Mandiant - ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit
