何が起きたのか
2026年5月27日から6月9日にかけて、犯罪グループShinyHunters（MandiantとGoogle Threat Intelligence Groupの追跡名はUNC6240）が、Oracle PeopleSoftのゼロデイ脆弱性CVE-2026-35273を悪用し、100以上の組織で300超のインスタンスに侵入しました。Oracleは攻撃開始から約2週間後の6月10日に緊急パッチとアラートを公開しました。
被害組織の約68％が高等教育機関で、PeopleSoftには学生、奨学金、給与、人事のデータが保存されています。ノッティンガム大学は、在学生・卒業生の約45万4,600件の記録（氏名、住所、パスポート番号、民族や障害などの機微情報）が流出したことを確認しました。
この記事は6月の当初のキャンペーンを扱います。9月には、このCVEに関連するWAF回避について別の記事を公開しています。
脆弱性の概要
- CVSS 9.8、認証もユーザー操作も不要
- PeopleTools 8.61・8.62の**Environment Management（EMHub）**コンポーネントが対象
- 要点：細工したHTTPリクエストをPSIGWゲートウェイに送ると内部の管理用サーブレットに届き（SSRF）、安全でないJavaデシリアライズを経て、サーバー上でコードを実行できます。
攻撃の手口
Mandiantによると、攻撃者は正規のリモート管理ツールMeshCentralのサーバーをC2として構築し、meshagent64-azure-ops.exeなどAzureのサービスを装った名前のエージェントを設置しました。その後*_fanout.shスクリプトで社内サーバーにSSH認証情報を総当たりし、身代金要求のファイルを残しました。続いて「払うか、データを公開されるか」という恐喝が行われました。
対策
- Oracleのパッチ（6月10日のアラート、6月のCPUにも収録）を速やかに適用する
- すぐに適用できない場合は、EMHubを無効化するか、
/PSEMHUB/*と/PSIGW/HttpListeningConnectorへの外部アクセスを遮断する - 侵害の痕跡を調査する：MeshCentralのバイナリ、不審な外向き通信、身代金ファイル
- PeopleSoftサーバー上の認証情報とSSH鍵を更新する
- 情報流出があれば、法令に基づく通知を準備する（日本では個人情報保護委員会への報告など）
企業への教訓
ERPの管理コンポーネントはインターネットに公開すべきではありません。VPNや本人確認付きのアクセス（ゼロトラスト）の背後に置いていれば、この攻撃は防げました。また、公開システムの重大な脆弱性には、24〜72時間の緊急パッチ適用枠が必要です。
出典
- Cloud Security Alliance (2026-06-30): https://labs.cloudsecurityalliance.org/research/csa-research-note-oracle-peoplesoft-zero-day-20260630-csa-st/
- The Register (2026-06-11): "ShinyHunters hacked 100+ orgs by exploiting an Oracle PeopleSoft 0-day"
- Mandiant / Google Threat Intelligence Group: "ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit"
- NVD CVE-2026-35273: https://nvd.nist.gov/vuln/detail/CVE-2026-35273
自社でERPやインターネット公開システムを運用していますか。KGA ITでは公開状況の無料診断を行っています：kga-it.com