CVSSスコア9.8のOracle PeopleSoft脆弱性、ShinyHuntersに100超の組織への2週間のアクセスを許す

Oracle PeopleSoftを運用する100以上の組織が、ShinyHuntersの恐喝ネットワークに侵入されていたことを通知を受ける前に知った。このキャンペーンを可能にした脆弱性CVE-2026-35273は、深刻度9.8/10と評価され、認証不要、ユーザーの操作不要、HTTP経由のネットワークアクセスだけで公開サーバー上で完全なリモートコード実行を可能にする。

この脆弱性は、PeopleSoftのPeopleTools Updates Environment Managementコンポーネントに存在する。このモジュールは、大学や企業が依存する人事、学生情報、財務管理の各デプロイメントに共通するものだ。攻撃者はこれを既知の古い脆弱性と連鎖させ（セキュリティ研究者が「ガジェットチェーン」と呼ぶ手法）、構成ファイルから認証情報を抽出し、各被害者のインフラ全体にわたって接続されたアプリケーション層、ウェブ層、バッチ層をマッピングする。ShinyHuntersは、標的とした組織全体で300以上のサーバーインスタンスを侵害した。

ShinyHuntersは、暗号化ではなくデータ窃取と恐喝をビジネスモデルとする。彼らは記録を外部に持ち出し、恐喝ポータルにデータをリストアップし、段階的にリークを公開して被害者に支払いを迫る。侵害されたシステムには「README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT」というファイルが残されていた。Mandiantがこのキャンペーンの規模を特定し、影響を受けた組織に通知。Arctic Wolfは、グループのツールと横方向の移動パターンに関する詳細なフォレンジック分析を公開した。

高等教育機関が被害の68％を占めた。これは、大学が人事と学生情報システムの両方の基盤としてPeopleSoftを同一デプロイメントで運用していることの当然の帰結だ。ノッティンガム大学は、ShinyHuntersが約50万人の現役および元学生を対象とする40ギガバイト以上のデータを公開した侵害を確認した。全米保険監督官協会（NAIC）は、3.1テラバイトが盗まれたと報告した。企業の被害者としては、日産（米国、カナダ、メキシコ、ブラジルの従業員記録が流出）、クボタ北米、Aflac日本の子会社が名を連ねている。

このキャンペーンで抽出されたデータは、PeopleSoftが管理する最も機密性の高いカテゴリーに及ぶ。氏名、連絡先詳細、銀行口座情報、税務記録、政府発行の識別番号、扶養家族や受益者に関する記録だ。大学の場合、これには奨学金記録や学生IDも含まれる。この組み合わせにより、PeopleSoftは高収益の標的となる。侵害された単一のインストール環境には、通常、組織全体の従業員と学生人口の完全な財務プロファイルが保持されているからだ。

悪用の期間は5月27日から6月9日までだった。Oracleは6月10日に緊急のアウトオブバンド勧告を発行し、アクティブな攻撃ベクトルを封鎖した。恒久的な修正は7月21日、Oracleの四半期ごとのCritical Patch Update（CPU）の一部として提供された。これは同社史上最大級のもので、CVSS 10.0と評価された10件を含む1,455件の新たに開示された脆弱性に対処している。6月の緊急勧告のみを適用した組織は、7月のCPUが適用されていることを確認すべきだ。アウトオブバンドパッチはShinyHuntersが悪用したベクトルを封鎖したが、脆弱性チェーン全体を修復したわけではない。

Oracleは、7月のCPUを直ちに適用し、PeopleSoftインスタンスへのネットワークアクセスを一時的に制限し、ネットワークエッジでUpdates Environment Managementコンポーネントを無効化するWAFルールを実装することを推奨している。影響を受ける組織に関連する個人、つまり大学、保険会社、雇用主が人事、給与、学生管理にPeopleSoftを運用している場合、ShinyHuntersの段階的公開モデルにより、まだ公開されていないデータが今後数週間以内にリークポータルに現れる可能性がある。信用報告書を確認し、不審な政府発行IDの使用を監視することが、現実的な短期的対策である。

タグ: サイバーセキュリティ, CVE-2026-35273, Oracle, PeopleSoft, ShinyHunters, データ漏洩