この記事で分かること（読了時間：3分）
- PeopleSoft 0-day脆弱性の深刻な被害状況
- ShinyHuntersによる攻撃手法と対象組織
- 緊急対応が必要な理由と対策指針
【結論】重要ポイント3選#
1. 重大度9.8の0-day脆弱性が2週間以上悪用 Oracle PeopleSoftの脆弱性CVE-2026-35273が長期間未検知で悪用された
2. 約100組織が標的、高等教育機関が68%を占める ShinyHuntersが約300エンドポイントを攻撃、特に大学等への被害が深刻
3. ギガバイト級のデータ窃取と恐喝要求 単一被害者から48GBのデータが窃取され、恐喝要求が確認されている
PeopleSoft 0-day脆弱性とは？基本概念の解説#
CVE-2026-35273は、Oracle PeopleSoftソフトウェアスイートで発見されたゼロデイ脆弱性です。
脆弱性の特徴：
- 重大度： 10点満点中9.8という極めて高いスコア
- タイプ： SSRF（Server-Side Request Forgery）
- 悪用期間： 2週間以上（5月27日から継続）
- 対応状況： Oracleは暫定的な軽減策を提供、完全パッチは未リリース
SSRF攻撃とは、脆弱なサーバーから標的組織が使用するシステムへリクエストを送信させる攻撃手法で、リモートから悪用可能な深刻な脆弱性です。
主な被害状況と攻撃手法#
攻撃規模と対象組織#
| 項目 | 詳細 |
|---|---|
| 標的エンドポイント | 約300個 |
| 被害組織数 | 約100組織 |
| 主要標的セクター | 高等教育機関（68%） |
| 確認被害者 | ノッティンガム大学など |
ShinyHuntersの攻撃手法#
Google Mandiantの分析によると、攻撃者は以下の手順で侵害を実行：
1. 偵察活動
- PeopleSoft設定のマッピング
- プロセススケジューラーの確認
- WebLogicサーバーXML設定の閲覧
2. データ窃取
- zstdツールによるデータ圧縮
- SSH接続（176.120.22.24）による外部転送
- データリークサイト（DLS）での公開
3. 恐喝活動
- 窃取データの公開脅威
- 金銭要求による恐喝
業界への影響と深刻性#
高等教育機関への集中的被害#
ノッティンガム大学は水曜日、学生データの「重大な」量が脅威アクターの手に渡ったことを確認しました。ShinyHuntersは同大学を最近の被害者の一つとして公表し、窃取したと主張するギガバイト級のデータを公開しています。
ShinyHuntersの脅威プロファイル#
活動期間： 2019年以降 主要被害企業：
- Ticketmaster（Snowflake侵害経由）
- スペイン最大手銀行Santander
- Salesforce（Google等に波及）
攻撃手法の多様性：
- クラウド設定ミスの悪用
- ソフトウェア脆弱性の悪用
- OAuthトークン窃取
- サプライチェーン攻撃
- ボイスフィッシング
- その他のソーシャルエンジニアリング
緊急対応が必要な理由#
攻撃の成功率の高さ#
Mandiantは「複数の組織が活動をブロックまたは脆弱性を修復することに成功したが、他の組織では侵害が発生し、窃取されたデータがShinyHunters DLSで公開されている」と報告しています。
継続的な攻撃活動#
研究者によると、攻撃グループは「PeopleSoftの継続的な標的化を示すいくつかのディレクトリを公開」し、攻撃に使用されたツールを含むステージングサーバーも利用可能な状態で残していました。
実際の対策方法・導入のポイント#
緊急対応手順#
1. 即座の評価
- PeopleSoftシステムの稼働状況確認
- CVE-2026-35273への対策状況チェック
2. Oracleの軽減策適用
- 提供されている暫定的な軽減策の実装
- 完全パッチのリリース待ちと即座の適用準備
3. 侵害の兆候確認
- MandiantとRapid7が提供する侵害指標（IoC）の活用
- システムログの詳細分析
長期的セキュリティ強化#
ゼロデイ対策の重要性 ShinyHuntersの成功率を考慮すると、すべてのPeopleSoftユーザーは専門家の警告に注意を払う必要があります。
よくある質問（FAQ）#
Q: この脆弱性はどの程度深刻ですか？ A: 10点満点中9.8という極めて高い重大度スコアを持つ、今年最も重要な悪用された脆弱性の一つです。
Q: 攻撃はまだ継続していますか？ A: はい。5月27日から開始され、記事公開時点でも継続している可能性があります。
Q: どのような組織が主に標的となっていますか？ A: 約68%が高等教育機関で、大学等が主要な標的となっています。
Q: 完全な修正パッチはいつ提供されますか？ A: Oracleは暫定的な軽減策を提供していますが、完全なパッチのリリース時期は明記されていません。詳細は元記事を参照してください。
まとめ：押さえておくべき重要ポイント#
即座の対応が必要な理由：
- 重大度9.8の脆弱性が2週間以上悪用継続
- 約100組織、300エンドポイントが既に標的
- 高等教育機関への集中的被害
- ギガバイト級のデータ窃取と恐喝活動
PeopleSoftユーザーは、Oracleの軽減策の即座適用とMandiant・Rapid7の提供する侵害指標の確認が緊急に必要です。ShinyHuntersの高い攻撃成功率を考慮すると、予防的対策が被害拡大防止の鍵となります。
参考元: PeopleSoft 0-day affecting hundreds of organizations steals gigabytes of data
