ShinyHuntersが100社超を侵害したOracle PeopleSoftの重大欠陥、7月CPUで修正——1,455件の脆弱性を一括パッチ

CVE-2026-35273の詳細——CVSS 9.8の最高危険度

CVE-2026-35273は、PeopleSoft Enterprise PeopleTools 8.61および8.62に存在するリモートコード実行の脆弱性だ。Common Vulnerability Scoring System（CVSS）スコアは9.8と、事実上の最高危険度に分類される。

この脆弱性の最大の問題は、認証なしでネットワーク越しにHTTPアクセスするだけで悪用可能な点にある。攻撃者は有効なアカウントを持たずとも、インターネットに公開されたPeopleSoftサーバーに対して完全なリモートコード実行を実現できる。

Oracleはこの欠陥をすぐには公開パッチで対処せず、6月11日に通常の四半期サイクルとは別の「帯域外アドバイザリ」を発行し、緩和策の即時適用を「高優先度のリスク軽減措置」と表現して促した。正式な修正は約6週間後の7月CPUまで持ち越された。

ShinyHuntersの攻撃キャンペーン——大学を中心に300インスタンスを侵害

この脆弱性を悪用したのはShinyHuntersだ。2020年から活動するフランス語圏の金銭目的サイバー犯罪グループで、過去にMicrosoft、AT&T、Ticketmasterなどへの攻撃でも名前が上がっている。

攻撃は2026年5月27日から6月9日にかけて実施され、公開パッチが存在しないゼロデイ期間に300件超のPeopleSoftインスタンス、100社超の組織が侵害された。被害を受けた組織の68%が高等教育機関であり、ノッティンガム大学は大規模なデータ侵害を公式に認めている。

手口はデータ窃取と恐喝を組み合わせたものだ。盗み出したデータのサンプルを公開してランサム要求を行い、期限が過ぎると全データを公開する形式をとる。Mandiantは100社超の組織に対して侵害の可能性を通知したと報告している。

あわせて読みたい

• Microsoft「Project Perception」7月公開へ——AIで脆弱性を自動修正、Anthropic Mythosの半値以下で挑む新セキュリティ基盤
• Microsoftが「Project Perception」を今月公開へ——Claude・GPT・MAIをオーケストレーションするAI脆弱性検出基盤
• IBMとRed Hatがオープンソースの「AIセキュリティ危機」に50億ドルで挑む——Project Lightwellと2万人のエンジニア動員

7月CPUの規模——過去最大1,455件のパッチ

7月21日に公開されたCPUは、Oracle製品ポートフォリオ全体で1,455件の新規脆弱性に対処しており、Oracleの四半期パッチとして過去最大規模だ。CVE-2026-35273の修正もこのCPUに含まれている。

PeopleToolsは人事、財務、学生情報管理など基幹業務を担うケースが多く、侵害が長引けば業務への影響は深刻になりうる。セキュリティ研究者やMandiantをはじめとする調査機関は、PeopleSoftを利用している組織に対し、今回のCPUを即座に適用するよう勧告している。

---

ソース:

• Oracle Patches Critical PeopleSoft Flaw Behind ShinyHunters Breach Of 100-Plus Organizations — HNGN（2026年7月25日）
• Oracle Addresses PeopleSoft Vulnerability Amid Reports of Zero-Day Attacks — SecurityWeek
• PeopleSoft Exploit Behind 100+ Breaches Gets Patched in Oracle Record July CPU — TechTimes（2026年7月21日）
• Critical Oracle PeopleSoft Vulnerability Actively Exploited in ShinyHunters Campaign — Arctic Wolf