Oracle

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Oracle E-Business Suite（EBS）の財務アプリケーションにおける重大な脆弱性を悪用した攻撃が継続していることを受け、連邦政府機関に対し、土曜日までにシステムのセキュリティ対策を講じるよう命じた。

EBSの「Oracle Payments」製品のファイル転送コンポーネントで発見され、CVE-2026-46817として追跡されているこのセキュリティ上の欠陥により、HTTPネットワークへのアクセス権を持つ認証されていない攻撃者は、比較的単純な攻撃で脆弱なシステムを乗っ取ることが可能となる。

オラクルは、2026年5月の「クリティカル・セキュリティ・パッチ・アップデート」を通じてこのセキュリティ問題に対処するセキュリティ更新プログラムをリリースし、顧客に対しシステムのパッチ適用を直ちに実施するよう強く促した。

image

「一部の事例では、標的となった顧客が利用可能なOracleのパッチを適用していなかったため、攻撃者が攻撃に成功したとの報告があります」と同社は当時警告した。「したがって、Oracleは顧客に対し、サポートが継続されているバージョンを維持し、遅滞なくセキュリティパッチを適用することを強く推奨します。」

オラクルは現時点でCVE-2026-46817が実環境で悪用されているとは確認していないが、脅威インテリジェンス企業のDefusedは6月29日、悪意のある攻撃者が実環境でこの脆弱性の悪用を開始したと発表した。

「CVE-2026-46817（CVSS 9.8、Oracle E-Businessにおける認証不要のHTTP乗っ取り）が悪用されています。 週末にかけて、当社のOracle E-Businessハニーポットにおいて、攻撃者がこの脆弱性を悪用しているのを確認しました。この脆弱性については、これまでに悪用された事例は知られておらず、公開されているPOCコードも存在しません」とDefusedは指摘した。

​インターネットセキュリティ監視団体Shadowserverによると、現在、インターネットに公開されているOracle EBSインスタンスは1,000件以上追跡されており、その半数以上が米国にある。しかし、そのうち何件がハニーポットであるか、あるいは進行中のCVE-2026-46817攻撃に対してすでに防御措置が講じられているかについての情報は存在しない。

Oracle EBS instances exposed online
インターネットに公開されているOracle EBSインスタンス（Shadowserver）

水曜日、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）も、ハッカーがこの脆弱性を積極的に悪用していることを確認し、これを「既知の悪用されているセキュリティ欠陥」のリストに追加するとともに、拘束力のある運用指令（BOD）26-04に基づき、米国政府機関に対し、7月18日（土）までに脆弱なOracle EBSインスタンスにパッチを適用するよう命じた。

「Oracle E-Business Suiteには、HTTP経由でネットワークアクセスを持つ認証されていない攻撃者がOracle Paymentsを侵害することを可能にする、不適切な権限管理の脆弱性が含まれています。この脆弱性を悪用した攻撃が成功すると、Oracle Paymentsの乗っ取りにつながる可能性があります」とCISAは述べています。

「この種の脆弱性は、悪意のあるサイバー攻撃者にとって頻繁に利用される攻撃ベクトルであり、連邦政府機関に重大なリスクをもたらす。」

10月には、同サイバーセキュリティ機関は、Oracle E-Business Suiteに存在する未認証のサーバーサイドリクエストフォージェリー（SSRF）の脆弱性（CVE-2025-61884）が実環境で積極的に悪用されていることを指摘した後、政府機関に対し、この脆弱性へのパッチ適用を命じていた。

さらに最近では6月、2年前に修正済みでありながら現在攻撃で積極的に悪用されている、深刻度の高いOracle WebLogic Serverの脆弱性（CVE-2024-21182）に対して、システムを保護するよう各機関に指示した。

過去数年間で、CISAは、実環境で悪用されているさまざまなOracle製品にわたる43件のセキュリティ問題を指摘しており、そのうち12件はランサムウェア集団によっても悪用されています。