CVE-2026-35273の詳細——CVSS 9.8の最高危険度
CVE-2026-35273は、PeopleSoft Enterprise PeopleTools 8.61および8.62に存在するリモートコード実行の脆弱性だ。Common Vulnerability Scoring System（CVSS）スコアは9.8と、事実上の最高危険度に分類される。
この脆弱性の最大の問題は、認証なしでネットワーク越しにHTTPアクセスするだけで悪用可能な点にある。攻撃者は有効なアカウントを持たずとも、インターネットに公開されたPeopleSoftサーバーに対して完全なリモートコード実行を実現できる。
Oracleはこの欠陥をすぐには公開パッチで対処せず、6月11日に通常の四半期サイクルとは別の「帯域外アドバイザリ」を発行し、緩和策の即時適用を「高優先度のリスク軽減措置」と表現して促した。正式な修正は約6週間後の7月CPUまで持ち越された。
ShinyHuntersの攻撃キャンペーン——大学を中心に300インスタンスを侵害
この脆弱性を悪用したのはShinyHuntersだ。2020年から活動するフランス語圏の金銭目的サイバー犯罪グループで、過去にMicrosoft、AT&T、Ticketmasterなどへの攻撃でも名前が上がっている。
攻撃は2026年5月27日から6月9日にかけて実施され、公開パッチが存在しないゼロデイ期間に300件超のPeopleSoftインスタンス、100社超の組織が侵害された。被害を受けた組織の68%が高等教育機関であり、ノッティンガム大学は大規模なデータ侵害を公式に認めている。
手口はデータ窃取と恐喝を組み合わせたものだ。盗み出したデータのサンプルを公開してランサム要求を行い、期限が過ぎると全データを公開する形式をとる。Mandiantは100社超の組織に対して侵害の可能性を通知したと報告している。
7月CPUの規模——過去最大1,455件のパッチ
7月21日に公開されたCPUは、Oracle製品ポートフォリオ全体で1,455件の新規脆弱性に対処しており、Oracleの四半期パッチとして過去最大規模だ。CVE-2026-35273の修正もこのCPUに含まれている。
PeopleToolsは人事、財務、学生情報管理など基幹業務を担うケースが多く、侵害が長引けば業務への影響は深刻になりうる。セキュリティ研究者やMandiantをはじめとする調査機関は、PeopleSoftを利用している組織に対し、今回のCPUを即座に適用するよう勧告している。
ソース:
- Oracle Patches Critical PeopleSoft Flaw Behind ShinyHunters Breach Of 100-Plus Organizations — HNGN（2026年7月25日）
- Oracle Addresses PeopleSoft Vulnerability Amid Reports of Zero-Day Attacks — SecurityWeek
- PeopleSoft Exploit Behind 100+ Breaches Gets Patched in Oracle Record July CPU — TechTimes（2026年7月21日）
- Critical Oracle PeopleSoft Vulnerability Actively Exploited in ShinyHunters Campaign — Arctic Wolf
