PeopleSoftにゼロデイ攻撃 CVE-2026-35273の要点と対策

インシデント対応
2026.06.15

【更新 2026-07-28】本記事を見直し、修正しました。主な修正点：①高等教育機関の割合（約68%）は世界各国の大学・カレッジが対象であり、国別で米国が最多という事実と混同していた記述を正確に改めました。②その後の被害公表（日産自動車、米NAIC、英ノッティンガム大学）と、2026年7月21日公開のOracle定例Critical Patch Update、関連する別脆弱性 CVE-2026-35278 を追記しました。

【更新 2026-07-03】本記事を再点検し、修正しました。主な修正点：CISAが連邦機関に6月15日までの対処を求めた根拠となる拘束的運用指令の番号を「BOD 22-01」から正しい「BOD 26-04」（2026年6月10日発行。リスクに基づき最高リスクの脆弱性は3日以内の対処を求める指令）に訂正しました。

【更新 2026-06-20】本記事を見直し、修正しました。主な修正点：米CISAが本脆弱性を悪用脆弱性（KEV）カタログに追加（2026年6月12日）し、連邦機関に6月15日までの対処を指示した事実を追記しました。

何が起きたか: Oracle PeopleSoft Enterprise PeopleTools に、未認証で遠隔からコード実行（RCE）が可能な深刻な脆弱性 CVE-2026-35273（CVSS 3.1 で 9.8）が見つかりました。誰に影響するか: PeopleTools 8.61 / 8.62 を使う組織（人事・給与・財務などのERP基盤）。今すぐ何をすべきか: 2026年6月10日にOracleが公開した緊急パッチを適用し、5月下旬以降の侵害有無を調査してください。本脆弱性はパッチ公開の前から実際に攻撃に使われていた（ゼロデイ）点が最大の注意点です。

この記事でわかること

  • CVE-2026-35273 の正体（未認証SSRF→RCE）と深刻度
  • 影響を受けるバージョンと、攻撃の発生時期・攻撃者
  • 情シスが今すぐ確認すべき侵害指標（IOC）と緩和策の方向性
  • 公的機関の一次情報への入口

CVE-2026-35273とは何か

CVE-2026-35273 とは、Oracle PeopleSoft Enterprise PeopleTools の「Updates Environment Management」コンポーネントに存在する、認証不要・遠隔からHTTP経由で悪用できるリモートコード実行の脆弱性です。Oracleの評価ではCVSS 3.1 基本値が 9.8 と、最高レベルに近い深刻度です。

技術的には、サーバが内部リソースへ任意のリクエストを行わされるSSRF（サーバサイドリクエストフォージェリ）が起点となり、最終的にコード実行へつながる連鎖だと報告されています。利用者の操作（クリック等）も認証も不要なため、インターネットに露出した環境管理ハブを起点に外部から直接突かれる構図です。

どのバージョンが影響を受けるのか

Oracleのセキュリティアラートによると、影響を受けるのは以下です。PeopleSoft Enterprise Applications を利用する顧客も間接的に影響を受ける可能性があるとされています。

項目 内容
製品 Oracle PeopleSoft Enterprise PeopleTools
影響バージョン 8.61 / 8.62
問題のコンポーネント Updates Environment Management（環境管理ハブ PSEMHUB 等）
CVSS 3.1 9.8（未認証・遠隔・RCE）
Oracleの対応 2026年6月10日に定例外（out-of-band）のアラート＋パッチを公開

なぜ「ゼロデイ」なのか — 攻撃は公表前から始まっていた

本件で情シスが最も重く受け止めるべきは、パッチ公開より前にすでに悪用されていた点です。Mandiant（Google傘下）の報告によると、実際の悪用は現地時間2026年5月27日〜6月9日に観測されており、Oracleのアラート（6月10日）に約2週間先行していました。つまり「パッチが出てから対応すれば安全」では間に合わなかったケースです。

攻撃キャンペーンは、金銭目的のサイバー犯罪集団 UNC6240（通称 ShinyHunters）に紐づけられています。データ窃取と恐喝を得意とするグループで、Mandiantは100を超える組織に通知したとしており、そのうち約68%が世界各国の大学・カレッジなど高等教育機関でした（国別では米国が最多）。ただし被害は教育分野に限りません。その後、米国の保険監督当局 NAIC（全米保険監督官協会）や英ノッティンガム大学に加え、日産自動車が2026年6月下旬、本脆弱性を悪用した攻撃により従業員の個人情報が影響を受けた可能性を米カリフォルニア州司法長官への届出等で公表しました（対象は米国・カナダ・メキシコ・ブラジルの現・元従業員で、日本国内の従業員への影響は公表されていません）。日本国内の被害状況については引き続き公開情報が限定的です。自社が対象外と断ずる根拠にはせず、まずは自環境の確認を優先してください。

その後、米CISA（サイバーセキュリティ・インフラセキュリティ庁）も2026年6月12日に本脆弱性を「悪用が確認された脆弱性（KEV）カタログ」に追加し、連邦民間機関（FCEB）に対し拘束的運用指令（BOD 26-04）に基づき6月15日までの対処（パッチ適用または運用停止）を指示しました。KEV入りは「現に攻撃に使われている」という政府機関による裏付けであり、自組織の対応の優先度を引き上げる判断材料になります。

侵害の手がかり（IOC）— 何を探せばよいか

各社の分析レポートでは、調査の起点となる侵害指標がいくつか共有されています。あくまで報告された一例であり、これらが無い＝安全とは限りませんが、ログ調査の入口になります。

  • 環境管理ハブへの不審なアクセス: /PSEMHUB/* や /PSIGW/HttpListeningConnector エンドポイントへの外部からのアクセス。
  • 正規サービスを装った遠隔管理ツール: 「Windows MeshCentral」エージェント（例: meshagent64-azure-ops.exe）の検出。正規クラウドサービスを装う命名が報告されています。
  • C2・通信先: ドメイン azurenetfiles[.]net、IPアドレス帯 142.11.200[.]186〜190 など。
  • 外向きSMB通信: アウトバウンドの TCP 445 の監視。

情シスは今すぐ何を確認すべきか

答えは「パッチ適用」と「5月下旬以降のログ精査」の二本立てです。具体的には、(1) 6月10日公開のパッチ適用、(2) 環境管理ハブ（EMHub/PSEMHUB）の必要性を見直し、不要なら無効化、(3) /PSEMHUB/* と /PSIGW/HttpListeningConnector への外部アクセス遮断、(4) 上記IOCを用いた5月27日以降のログ・プロセス・通信の確認——という流れです。実際の適用可否や手順は必ずOracleの公式アラートに従ってください。

その後の動き（2026年7月時点）

2026年7月21日、Oracleは四半期定例の Critical Patch Update（CPU）を公開しました。全体で1,235件のCVEに対応する過去最大規模の内容で、PeopleSoft向けにも84件の修正（うち45件は「未認証・遠隔で悪用可能」とされるもの）が含まれています。6月10日の緊急パッチを適用済みの環境でも、定例CPUの適用状況は別途確認してください。

また、同じ PeopleTools 8.61 / 8.62 では、Performance Monitor コンポーネントの未認証RCE CVE-2026-35278（CVSS 3.1 で 9.8、CWE-306「重要な機能に対する認証の欠如」）も公表されています。一部のセキュリティ企業のブログは本キャンペーンでの連鎖悪用に言及していますが、2026年7月28日時点でCISAのKEVカタログには収載されておらず、実際に悪用されたという公的な裏付けは取れていません。いずれにせよ対象バージョンは同じなので、バージョン確認とパッチ適用の際に併せて対応するのが現実的です。

現場目線の所感

ERPやPeopleSoftのような基幹システムは「止められない」「アップデートのたびに業務影響の確認が要る」という事情から、パッチ適用が後回しになりがちです。さらにPSEMHUBのような管理用コンポーネントは、運用上必要だからと外部到達可能なまま放置されていることが少なくありません。今回はまさにその「管理機能の露出」を突かれた形で、平時から「業務に直接見えない管理エンドポイントが、いつの間にか外から触れる状態になっていないか」を棚卸しする重要性を突きつけられたと感じます。

また「パッチ公開＝対応開始」という運用では、ゼロデイには構造的に間に合いません。重要システムほど、攻撃面（インターネット露出）を平時から絞り込み、異常検知のログを残しておく——この地道な備えが、結局は事後調査のスピードを左右します。限られた人員で基幹系まで目を配るのは容易ではありませんが、「露出の最小化」と「ログの確保」は費用対効果の高い一手です。

対策の進め方 — まずは公的機関の一次情報へ

個別手順を自前で並べるより、まずは一次情報に当たるのが確実です。本脆弱性はOracleの公式アラートが起点になります。あわせて、インシデント対応の体制づくりや机上演習には公的機関の教材が役立ちます。

恒久的には、攻撃が「正規の遠隔管理ツールを装う」手口だった点も踏まえ、利用者・運用担当への啓発（不審なエージェントやプロセスを見つけたら止める判断ができること）も並行して進めたいところです。

まとめ

  • CVE-2026-35273 は PeopleSoft PeopleTools 8.61/8.62 の未認証RCE（CVSS 9.8）。6月10日公開のパッチを最優先で適用し、2026年7月21日公開の定例CPU（PeopleSoft向け84件）の適用状況も確認する。
  • パッチ公開前（5月27日〜6月9日）からゼロデイ悪用済み。ShinyHunters によるデータ窃取が報告され、CISAもKEVカタログに追加済み（6月12日）。日産自動車など被害の公表も続いており、5月下旬以降の侵害確認が必須。
  • PSEMHUB/PSIGW の外部露出を見直し、MeshCentralエージェントや既知のC2への通信などIOCをログで確認する。

出典

タイトルとURLをコピーしました