確認されている事実
2026年9月25日、Google Threat IntelligenceとMandiantは、Oracle PeopleSoft のEnvironment Management Hub(PSEMHUB)にある認証不要のリモートコード実行脆弱性 CVE-2026-35273(CVSS 9.8)の新たな大量悪用を報告しました。
経緯:
- Googleが ShinyHunters と関連付ける UNC6240 が、5月27日 からゼロデイとして悪用
- Oracleは 6月10日 に緊急修正を公開
- 9月の新たな波は、WAFルールでエンドポイントを塞ぎ、パッチを当てなかった組織 を狙う
手口: /PSEMHUB/ ではなく /%50SEMHUB/ を要求する。パスをそのまま照合するWAFルールはすり抜け、PeopleSoft側は %50 を P に戻して脆弱なサーブレットに到達します。
主張(未確認)
9月22日、ShinyHuntersは FBIJobs.gov のページを改ざんし、2〜3TBを盗んだと主張、同じ脆弱性(と別の未知の欠陥)を使ったと述べました。FBI は不正アクセスを調査中とし、侵入経路もデータ窃取も 確認していません。Googleの調査は FBIを被害者として名指ししていません。
なぜ重要か
WAFルールはパッチではありません。「一時的な緩和策」には期限と継続的な検証が必要です。
今すべきこと
- PeopleSoftを使うなら6月10日のパッチを当て、WAFだけに頼らない。
- ログで
/%50SEMHUB/などのリクエストを探す。 - FBIに関する主張は、当局が確認するまで 未確認 として扱う。