はじめに
2026 年 6 月 10 日、Oracle は PeopleSoft Enterprise PeopleTools の脆弱性 CVE-2026-35273 に対する緊急のセキュリティアラート（定例の Critical Patch Update とは別枠の臨時公開）を発表しました。本脆弱性は HTTP 経由かつ未認証でリモートコード実行（RCE）に至るもので、CVSS 3.1 Base Score は 9.8（Critical）です。Mandiant の報告によれば、悪用はアドバイザリ公開より前から進行しており、被害は教育機関を中心に広がっています。
- CVE-2026-35273 の概要（CVSS スコア、影響コンポーネント、対象バージョン）
- 悪用の実態と確認されているタイムライン
- 自組織が影響を受けるかを確認する手順
- 正式パッチ適用前のエンドポイント遮断による緩和策
- 侵害の有無を確認するためのチェックポイント
本脆弱性は PeopleTools 8.61・8.62 に影響し、HTTP 経由・未認証で RCE に至ります。悪用がすでに確認されているため、正式パッチを適用するまでの間は、攻撃対象となっている Environment Management Hub（PSEMHUB）関連エンドポイントを外部から遮断することが当面の緩和策となります。本記事では影響確認から暫定対応、侵害確認までを実務手順として整理します。
CVE-2026-35273 の概要
CVE-2026-35273 は、Oracle PeopleSoft Enterprise PeopleTools の Updates Environment Management コンポーネントに存在する脆弱性です。認証情報やユーザー操作を必要とせず、ネットワーク経由の HTTP リクエストだけで RCE に至る点が特徴です。
- CVSS 3.1 Base Score: 9.8（Critical）
- CVSS ベクトル: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 影響コンポーネント: Updates Environment Management（Environment Management Hub / PSEMHUB）
- 対象バージョン: PeopleTools 8.61、8.62（サポート対象外の旧バージョンも影響を受ける可能性があるとされています）
- 想定される影響: 機密性・完全性・可用性のいずれも High（システムの完全な掌握につながり得る）
参考: Oracle Security Alert Advisory – CVE-2026-35273
“If successfully exploited, this vulnerability may result in remote code execution.”
（悪用に成功した場合、本脆弱性はリモートコード実行につながる可能性がある）
https://www.oracle.com/security-alerts/alert-cve-2026-35273.html
攻撃経路
攻撃者が標的とするのは、外部に公開された Environment Management Hub（PSEMHUB）のエンドポイントです。Mandiant の解析では、PeopleTools 内の既知の脆弱性と今回のゼロデイを連結する「gadget chain」と呼ばれる手法で、未認証のまま RCE が成立すると報告されています。攻撃には認証もユーザー操作も不要なため、PSEMHUB がインターネットから到達可能な構成では、単一の HTTP リクエストでサーバーが掌握される余地があります。
なお、PeopleTools 8.61・8.62 は比較的新しいリリース系列であり、旧バージョン特有の問題ではない点に留意が必要です。
悪用の実態とタイムライン
本脆弱性は、Oracle がアドバイザリを公開する前から実際の攻撃に使われていた点が重要です。Mandiant および Google Threat Intelligence Group（GTIG）は、攻撃グループ UNC6240（ShinyHunters として知られる）による侵害・恐喝キャンペーンを観測しています。
観測期間:
2026 年 5 月 27 日〜6 月 9 日（Oracle のアドバイザリ公開は 6 月 10 日のため、この期間はゼロデイ攻撃に該当）
攻撃対象:
外部公開された PSEMHUB エンドポイント
被害の傾向:
通知対象となった組織のうち約 68% が高等教育機関（大学・カレッジ）で、主に米国に集中
通知規模:
GTIG が、脆弱な可能性のあるエンドポイントに対応する 100 組織超へ通知
攻撃の性質:
窃取したデータをリークサイトで公開するデータ恐喝（ランサムウェアグループによる二重恐喝と同系統の手口）
参考: Google Threat Intelligence Group / Mandiant
“consistent with the exploitation of CVE-2026-35273, a critical remote code execution vulnerability”
（CVE-2026-35273 の悪用と一致する。これは重大なリモートコード実行の脆弱性である）
https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit
悪用が確認済みである以上、PeopleSoft を運用している組織は「未対応＝すでに侵害されている可能性がある」という前提で、影響確認と暫定対応を進めることが現実的です。
自組織が影響を受けるかの確認
緩和策に入る前に、自組織の PeopleSoft 環境が攻撃対象になり得るかを把握します。確認の軸は「外部公開の有無」「PSEMHUB エンドポイントの到達性」「バージョン」の 3 点です。
外部公開インスタンスの棚卸し
PeopleSoft は部署ごとに個別導入されているケースがあり、中央 IT の管理台帳に載っていないインスタンスが残っていることがあります。学生・職員向けのセルフサービスポータル、外部公開 API、連携ミドルウェアなども対象に含め、インターネットから到達可能な PeopleSoft 環境をすべて洗い出すことが出発点になります。
PSEMHUB エンドポイントの公開状況
今回の攻撃が標的とするのは Environment Management Hub（PSEMHUB）のエンドポイントです。以下のパスが外部ネットワークから到達可能になっていないかを確認します。
/PSEMHUB/*（特に/PSEMHUB/hub）/PSIGW/HttpListeningConnector
これらが境界の外側から HTTP / HTTPS で到達できる構成は、そのまま攻撃対象になり得ます。
バージョンの確認
影響を受けるのは PeopleTools 8.61・8.62 です。Oracle は、サポート対象外の旧バージョンも影響を受ける可能性があるとしています。旧バージョンを「対象外」と判断せず、外部到達可能であれば同様に対応対象として扱うことが無難です。
正式パッチ前の緩和策
Oracle は正式パッチに先立って緊急の緩和策を公開しています。正式パッチは My Oracle Support 経由で提供され、Patch Availability Document はサポートアカウントを持つ顧客のみが参照できます。PoC が出回っている状況のため、パッチを適用するまでの暫定対応として、以下の緩和策が推奨されています。
EMHub の無効化 / PSEMHUB アプリの削除
構成によって対応が分かれます。
- マルチサーバー構成: Environment Management Hub（EMHub）サービスを無効化する。
- シングルサーバー構成: PSEMHUB アプリケーションを完全に削除する。
いずれも Oracle のセキュリティアラートガイダンスに沿った対応です。具体的な操作手順は My Oracle Support の Patch Availability Document（サポートアカウントが必要）に従う形になります。本記事執筆時点で公開情報からは個別のコマンドまでは確認できないため、正確な手順は同ドキュメントを参照してください。
EMHub を無効化できない場合のエンドポイント遮断
運用上 EMHub を止められない場合は、境界（ファイアウォールまたはリバースプロキシ）で対象エンドポイントへの外部アクセスを遮断します。
/PSEMHUB/*（特に/PSEMHUB/hub）と/PSIGW/HttpListeningConnectorへの外部アクセスを境界で遮断する。- この遮断は、通常のエンドユーザー操作には影響しない（non-breaking）と GTIG は整理しています。
リバースプロキシ（Apache）で内部ネットワークのみに限定する場合の一例を示します（実際の許可レンジや適用箇所は環境に合わせて調整してください）。
# /PSEMHUB/ と /PSIGW/HttpListeningConnector を内部からのアクセスのみに限定する一例
<LocationMatch "^/(PSEMHUB|PSIGW/HttpListeningConnector)">
Require ip 10.0.0.0/8 192.168.0.0/16
</LocationMatch>参照: ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit（Google Threat Intelligence Group）
https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit
WAF 単独に頼らない / 正式パッチの適用
エンドポイント遮断にあたって注意したいのが、WAF のボディ検査ルール単独では回避され得るため不十分とされている点です。WAF を併用する場合でも、パスベースでの遮断や EMHub の無効化と組み合わせる前提で設計することが推奨されます。
これらの緩和策はあくまで暫定措置です。My Oracle Support から正式パッチを入手し、計画的に適用したうえで、緩和策の解除可否を判断する流れになります。
なお、本件は窃取データの公開を伴うデータ恐喝として悪用されているため、侵害を完全には防げなかった場合に備えたバックアップ設計の見直しも並行して検討する価値があります（詳細は関連記事『ファイルサーバーのランサムウェア対策｜不変バックアップ設計の基礎』を参照
侵害有無の確認ポイント
緩和策と並行して、すでに侵害を受けていないかの確認も進めます。GTIG が公開している侵害指標（IOC）をもとに、Web アクセスログ・ファイルシステム・通信の 3 観点で点検します。なお、悪用期間（5 月 27 日〜6 月 9 日）以降に外部公開されていた環境は、点検の優先度を高くすることが推奨されます。
Web アクセスログの確認
WebLogic および Web サーバーのアクセスログで、外部から /PSEMHUB/hub や /PSIGW/HttpListeningConnector への POST リクエストが記録されていないかを確認します。これらは正規のエンドユーザー操作では通常発生しないため、外部送信元からのアクセスは精査の対象になります。
ファイルシステムの確認
侵害の痕跡として、以下のファイル・ディレクトリの有無を点検します。
- PSEMHUB.war のディレクトリ配下にある、身に覚えのない
.jspファイル（Web シェルの可能性） - PSEMHUB 配下に作成された
logs・persistantstorage・scratchpadという不審なディレクトリ <docroot>/envmetadata/data/environment/配下で、最近作成・変更された.xmlファイル（XMLDecoder による永続化に悪用され、アプリケーション再起動時にコードが実行される恐れがあるとされています）
通信の確認
PeopleSoft ホストから外部宛ての 445/SMB アウトバウンド通信が発生していないかを確認します。これは、マシンアカウントの NetNTLM ハッシュ窃取に悪用され得る通信として指摘されています。
これらの指標に該当する痕跡が見つかった場合は、該当システムを隔離したうえで、フォレンジック調査によって影響範囲を確認することが推奨されます。
参照: ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit（Google Threat Intelligence Group）
https://cloud.google.com/blog/topics/threat-intelligence/shinyhunters-targets-education-sector-oracle-exploit
まとめ
CVE-2026-35273 は、Oracle PeopleSoft PeopleTools の未認証 RCE 脆弱性です。アドバイザリ公開前から悪用が進行していたゼロデイであり、教育機関を中心にデータ恐喝の被害が確認されています。正式パッチの適用に加え、適用までの間の暫定的な緩和策と侵害確認を並行して進めることが、現実的なリスク低減につながります。
- CVE-2026-35273 は PeopleSoft PeopleTools の未認証 RCE 脆弱性（CVSS 9.8）
- 影響対象は PeopleTools 8.61・8.62 とサポート外の旧バージョン
- 攻撃の起点は外部公開された PSEMHUB エンドポイント
- 公開前から悪用されたゼロデイで教育機関中心のデータ恐喝
- 暫定対応は EMHub 無効化または対象エンドポイントの境界遮断
- WAF のボディ検査単独では回避され得るため不十分
- 正式パッチは My Oracle Support 経由で入手し計画的に適用
以上、最後までお読みいただきありがとうございました。
