Hand sifting data

オラクルは、CVE-2026-35273として追跡されているPeopleSoft Suiteの重大なゼロデイ脆弱性について警告を発しています。この脆弱性により、認証不要のリモートコード実行が可能となり、ShinyHunterによるデータ窃取攻撃において実際に悪用されています。

この脆弱性はOracle PeopleSoft PeopleToolsに存在し、CVSSベーススコアは9.8です。

「本セキュリティアラートは、Oracle PeopleSoft PeopleToolsにおける脆弱性CVE-2026-35273について取り上げています。Oracle PeopleSoft Enterprise Applicationsをご利用のお客様も、この脆弱性の影響を受ける可能性があります」と、オラクルの新しいアドバイザリには記載されています。

image

「この脆弱性は、認証なしにリモートから悪用可能です。悪用が成功した場合、リモートコード実行につながる可能性があります。」

オラクルは、このゼロデイ脆弱性がPeopleSoft Enterprise PeopleToolsのバージョン8.61および8.62に影響することを確認しており、この欠陥に対処するための緊急の緩和策を 公開し、まもなくパッチをリリースする予定です。

ShinyHuntersによるデータ窃取攻撃でゼロデイ脆弱性が悪用される

オラクルは、この脆弱性が現在積極的に悪用されているとは述べていないが、この開示は、ShinyHuntersという恐喝グループがPeopleSoftのゼロデイ脆弱性を悪用してインスタンスに侵入し、データを盗んでいたと 最初に報じられた後に発表されたものである。

その後、本メディアは、これが攻撃で悪用されたゼロデイ脆弱性であることを確認した。

火曜日、当メディアは、Oracle PeopleSoftが一連のデータ窃取攻撃の標的となり、ShinyHuntersと称する身代金要求グループからのものとみられる身代金要求メッセージが残されていたことを把握した。

ShinyHuntersは、大量の企業データをホストするクラウドSaaSインスタンス、CRM、およびエンタープライズプラットフォームへの侵入を常套手段とする、よく知られた脅威アクターである。インスタンスへのアクセス権を獲得した後、彼らはデータをダウンロードし、その公開漏洩を防ぐために身代金を要求する。

このグループは、過去1年間にわたり、SnowFlake、Salesforce、およびサードパーティの統合プロバイダーを標的とした数多くの注目すべき攻撃に関与しているとされている。

ShinyHuntersは、これらの攻撃の背後に自分たちがいることを認め、PeopleSoftインスタンスへの侵入には、古い脆弱性とゼロデイ脆弱性を組み合わせた「ガジェットチェーン」を使用したと主張している。

この脆弱性を悪用し、この脅威アクターは100を超える組織の300のインスタンスからデータを盗んだとされています。

サイバーセキュリティ研究者の「Michael R」氏は、攻撃に関連するツールが含まれた複数の公開ディレクトリを発見し、攻撃に使用された以下のIPアドレスを公開した。

142.11.200[.]186
142.11.200[.]187
142.11.200[.]188
142.11.200[.]189
142.11.200[.]190
108.174.202[.]99
176.120.22[.]24

教育セクターを標的に

マンディアントは、脅威アクターがOracle PeopleSoftのCVE-2026-35273の脆弱性をゼロデイとして悪用し、主に教育セクターの組織を標的にしていたことを確認する報告書を発表した。

「アクティブなスキャンおよび悪用が確認されたため、潜在的に脆弱なエンドポイントと関連するIPアドレスを持つ世界中の100を超える組織に対し、通知を開始しました」とマンディアントは報告した。

「これらの組織の大部分は米国に拠点を置いており、68％が高等教育セクターで活動していました。」

マンディアントの報告書では、攻撃に関する追加の技術的詳細も共有されており、脅威アクターが公開されたステージングサーバーを利用してHTTPサービスをホストし、カスタム製のMeshCentralリモート管理エージェントを使用して、Microsoft Azureサービスに偽装した攻撃者制御のインフラストラクチャと通信していたと述べている。

研究者らによると、攻撃者は侵害されたインスタンスに対して偵察を行い、PeopleSoftおよびWebLogicの設定をマッピングし、盗まれた、あるいはハードコードされた認証情報を使用してスクリプトを駆使し、内部システム間を横方向に移動した。

またマンディアントは、攻撃者が盗み出したデータを圧縮し、最終的に176.120.22.24のサーバーに接続したと指摘した。このIPアドレスは、公開されているデータ漏洩サイト「ShinyHunters」に関連付けられており、この活動を恐喝グループと結びつける手がかりとなった。

Mandiantはガイダンスの一環として、組織に対し、脆弱なPeopleSoftエンドポイントへのアクセスを制限し、/PSEMHUB/および/PSIGW/HttpListeningConnectorを標的とした不審なリクエストについてログを確認し、サーバーに以下の兆候がないか検査するよう助言した。

  • WebLogicアプリケーションディレクトリ内の予期しない.jspウェブシェルファイル
  • PSEMHUBトランザクションフォルダ内に配置された不正なファイルやバイナリ
  • logs、persistantstorage、scratchpad などの不審なディレクトリ
  • 再起動後に永続性を維持したり、リモートコード実行を引き起こしたりするために使用される可能性のある、最近変更された XML ファイル

ShinyHuntersは最近、教育セクターを標的としたInstructure Canvasへの大規模なサイバー攻撃を行い、学生、教員、職員のデータレコード2億8000万件を盗み出しました。Instructureはその後、盗まれたデータの流出を防ぐために身代金を支払いました。

当メディアは、この脆弱性および攻撃に関する質問をOracleに送付したが、回答は得られていない。