オラクル、過去最大規模 of 7月セキュリティパッチ公開　PeopleSoftを狙う標的型攻撃に対処

オラクルは2026年7月21日（現地時間）、100以上の組織で300台以上のPeopleSoftサーバーに被害を与えた脆弱性チェーンに対する恒久的な修正を含む、7月の「クリティカルパッチアップデート（CPU）」を公開した。今回のCPUはオラクル史上最大規模の四半期パッチリリースの一つであり、オンプレミス製品全体で1,455件の新たな脆弱性に対処している。すでに野生での悪用が確認されているPeopleSoftの脆弱性については、未対策の組織に対して極めて迅速な対応が呼びかけられている。

■ShinyHuntersが2つのPeopleSoft脆弱性を悪用、300台以上のサーバーに侵入した手口

今回のパッチで修正された脆弱性チェーン（CVE-2026-35278およびCVE-2026-35273）は、サイバー犯罪グループ「ShinyHunters（シャイニーハンターズ）」によって、2026年5月27日から6月9日の間に活発に悪用されていた。この攻撃により、大学、神学校、非営利団体、政府機関など100以上の組織において、300台以上のPeopleSoftサーバーが侵害された。一例として、ムーディー聖書学院（Moody Bible Institute）だけでも230万件の個人情報が流出する被害に遭っている。

CVE-2026-35278は、Oracle PeopleSoft PeopleToolsにおける事前認証なしのリモートコード実行（RCE）の脆弱性であり、CVSS v3.1スコアは9.8と評価されている。この脆弱性は、PeopleSoftアプリケーションノードの監視と管理を行う「Environment Management Hub」を標的とする。このインターフェースはネットワーク経由のHTTPリクエストを認証なしで受け入れるため、攻撃者はネットワークアクセスのみでアプリケーションサーバー上で任意のコードを実行できてしまう。

ShinyHuntersはこの初期侵入経路と、PeopleToolsの権限昇格の脆弱性であるCVE-2026-35273を組み合わせた。後者は非常に深刻であったため、オラクルは四半期サイクルを待たずに6月10日に臨時セキュリティアラートを発行していた。これら2つの脆弱性を組み合わせることで、同グループは初期アクセスと権限昇格を行い、人事記録や給与ファイル、個人特定情報（PII）を含むPeopleSoft HCMデータベースへのアクセス経路を確保した。

ShinyHuntersは2020年から活動している金銭目的のフランス語圏サイバー犯罪グループであり、過去にはマイクロソフト、AT&T、チケットマスターなどを標的にしたことが確認されている。彼らのビジネスモデルはデータの窃取と脅迫であり、盗み出したデータを身代金の支払期限付きで公開サイトに掲載し、期限が過ぎるとすべてを公開する手法をとる。オラクルは、未パッチのPeopleSoftインスタンスを運用している組織に対し、72時間以内にパッチを適用するか、Environment Management HubへのHTTPアクセスを信頼できるIPアドレス範囲のみに制限するよう強く求めている。

■Oracle Database ServerのCVSS 9.9脆弱性：理論上は深刻だが、野生での悪用は未確認

7月CPUにおける単一の修正で最もCVSSスコアが高いのは、Oracle Database Serverの脆弱性（CVSS 9.9）である。これは理論上の最大値である10.0に極めて近い深刻な数値だが、現時点でこの脆弱性が野生（実環境）で悪用された事実は確認されていない。そのため、すでにアクティブな攻撃が確認されているPeopleSoftの脆弱性チェーンの方が、実務上の優先順位は高い。

影響を受けるバージョンは非常に広範囲に及び、現在アクティブサポート期間内にあるほぼすべての本番環境のOracle Database（19.3〜19.31、21.3〜21.22、23.4.0〜23.26.2）が対象となっている。今回のCPUに含まれる16件のデータベース関連の修正のうち、7件は認証なしでリモートから悪用可能な脆弱性に対処している。

セキュリティ専門家は、CVSSスコアのみに頼ってパッチ適用の優先順位を決定すべきではないと指摘している。CVSSを策定するFIRST（Forum of Incident Response and Security Teams）の仕様書にもある通り、CVSSは脆弱性を単体で評価するものであり、実世界での悪用可能性や攻撃者による実際の標的化は考慮されていない。優先順位の判断には、CISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）の「既知の悪用された脆弱性（KEV）」カタログや、アクティブな脅威インテリジェンスを参照する方が効果的であり、それらの指標はすべてPeopleSoftへの対処を最優先すべきだと示している。

■Fusion Middlewareなど、その他に即時対応が必要な脆弱性

今回のCPUでは、Oracle Fusion Middlewareに対して最多となる359件の新しいセキュリティパッチが提供された。そのうち224件がリモートから悪用可能な脆弱性であり、Oracle Access Manager、WebLogic Server、Oracle Coherenceに影響する最大スコア10.0の脆弱性が含まれている。また、Oracle WebCenter Capture의 2つの脆弱性（CVE-2026-35280、CVE-2026-35281）およびOracle Identity Managerの脆弱性（CVE-2026-35268）は、いずれもCVSS 9.9で、認証なしのリモートコード実行が可能である。

Oracle WebLogic ServerのCVE-2026-35263（CVSS 9.9）は、オラクル独自のT3/IIOPプロトコルを使用する。このプロトコルはJavaオブジェクトのシリアル化を処理するため、歴史的に脆弱性の標的になりやすく、過去10年間でWebLogicの深刻な脆弱性が繰り返し発見されてきた。インターネットからアクセス可能なWebLogicのT3/IIOPポートを運用している組織は、パッチを適用するまで認証なしのRCEリスクにさらされることになる。

このほか、Oracle GoldenGate向けに27件（うち9件が認証なしでリモート悪用可能、最大スコア9.1）、Oracle Financial Services Applications向けに23件（うち18件がリモート悪用可能、最大スコア9.8）、Oracle VirtualBox向けにCVE-2026-35275（CVSS 7.5、VMエスケープの脆弱性）などのパッチが提供されている。

■AIによる脆弱性発見の高速化がもたらした、月次パッチサイクルの導入

今回の7月CPUの規模がこれほど大きい背景には、脆弱性の発見プロセスにおける構造的な変化がある。オラクルは2026年4月、Anthropicの「Claude Mythos Preview」やOpenAIの最先端AIモデルを「Trusted Access for Cyber」プログラムを通じて導入し、自社ソフトウェアやオープンソースコンポーネントの脆弱性スキャンを継続的に実施していることを明らかにした。

Anthropicが2026年4月7日に発表した「Claude Mythos Preview」は、自律的な脆弱性発見能力が非常に高く、一般公開が見送られ「Project Glasswing」を通じて提供されている。このモデルは、数十年間にわたる人間のセキュリティレビューをすり抜けてきたものも含め、主要なOSやWebブラウザから数千件のゼロデイ脆弱性を自律的に特定した。また、2026年2月には「Claude Opus 4.6」がオープンソースソフトウェアで500件以上の高深刻度ゼロデイ脆弱性を発見したことが報告されている。

AIモデルが人間よりも高速に脆弱性を発見するようになった結果、従来の90日間の開示ウィンドウ（GoogleのProject Zeroなどが確立した業界標準）は維持できなくなっている。これに対応するため、オラクルは2026年5月から、同社史上初となる月次の「クリティカルセキュリティパッチアップデート（CSPU）」を開始した。7月のCPUは累積的であり、5月28日と6月16日のCSPUの修正をすべて含んでいる。次回のCSPUは2026年8月18日に予定されている。

「Zero Day Clock」のデータによると、脆弱性の発見から野生での悪用開始までの期間の中央値は、2018年の771日間から、2024年には4時間未満に短縮され、2026年現在は1時間に近づいている。このタイムラインの短縮に対応するため、オラクルは月次のリリースサイクルを導入してパッチ提供までの期間を圧縮している。

■IT管理者が8月までに実施すべき対策

オラクルの累積パッチモデルにより、7月のCPUには過去のCSPUの修正がすべて含まれている。5月と6月の月次リリースを適用済みの組織であっても、今回の7月CPUを適用して、データベースサーバーやWebLogicなどの修正を含む完全なパッチセットを導入する必要がある。

インターネットに公開されているPeopleSoft PeopleTools 8.61および8.62の全インスタンスについては、72時間以内にパッチを適用するか、Environment Management HubへのHTTPアクセスを制限する緊急対応が必要である。また、5月下旬から6月上旬にかけてインターネット公開されていた場合は、侵害調査（コンプロマイズアセスメント）の実施を推奨する。6月10日の臨時アラートで回避策のみを適用していた組織は、依然として脆弱な状態にあった可能性がある。

また、Oracle Database Server（CVSS 9.9）、Oracle WebLogic Server（CVE-2026-35263、CVSS 9.9）、Oracle Identity Manager（CVE-2026-35268、CVSS 9.9）、Oracle WebCenter Capture（CVE-2026-35280/35281、CVSS 9.9）、Oracle Fusion Middleware（最大CVSS 10.0）については、組織の標準的な緊急SLAに従って迅速に対応する必要がある。

月次CSPUのプロセスをまだ構築していない組織は、2026年8月18日の次回リリースまでに構築する必要がある。月次サイクルを追跡・適用することで、重大な脆弱性に対する露出期間を従来の約90日間から30日間に短縮することが可能となる。

■注目ポイントQ&A

●なぜPeopleSoftのパッチは、より高いスコアのOracle Databaseの脆弱性よりも優先度が高いのですか？

CVSSスコアは理論上の深刻度を示すものであり、実際の悪用状況を反映していません。Oracle Databaseの脆弱性（CVSS 9.9）は現時点で野生での悪用が確認されていませんが、PeopleSoftの脆弱性チェーン（CVE-2026-35278およびCVE-2026-35273、ともにCVSS 9.8）は、2026年5月27日から6月9日にかけてサイバー犯罪グループ「ShinyHunters」によって実際に悪用され、100以上の組織で300台以上のインスタンスが侵害されたことが確認されています。実世界でのアクティブな攻撃の存在は、理論上のスコアよりも優先されるべきです。

●オラクルの新しい月次CSPUと、従来の四半期CPUの違いは何ですか？

月次クリティカルセキュリティパッチアップデート（CSPU）は、2026年5月に導入された、優先度の高い脆弱性の修正を迅速に提供するための小規模で対象を絞ったリリースです。一方、四半期CPUは累積的なものであり、過去のCSPUの修正を含むすべてのパッチが統合されています。四半期CPUのみを適用する場合、重要な修正を受け取るまでに最大90日待つことになりますが、月次CSPUを追跡・適用すれば、オラクルが脆弱性を特定してから30日以内に修正を適用できます。次回のCSPUは2026年8月18日に予定されています。

●オラクルによるAIモデルの活用は、脆弱性の発見とパッチにどのような影響を与えていますか？

オラクルは2026年4月、Anthropicの「Claude Mythos Preview」やOpenAIのモデルを使用して、ソフトウェアポートフォリオの脆弱性スキャンを継続的に実施していることを確認しました。これらのAIモデルは、コード分析に推論を適用し、Gitの履歴を読み取ってパターンを特定するなど、従来のファジングとは異なる方法で脆弱性を発見します。これにより、脆弱性の発見ペースが人間のレビューを大幅に上回るため、四半期CPUの規模は今後さらに拡大する傾向にあります。今回の1,455件のパッチを含む7月CPUはその一例です。

●6月10日のCVE-2026-35273向け暫定回避策を適用済みの場合でも、組織はリスクにさらされていますか？

はい、リスクが残っている可能性があります。オラクルが6月10日に公開した臨時セキュリティアラートは緊急の回避策（緩和策）を提供するものであり、完全なパッチは含まれていませんでした。完全なパッチは今回の7月CPUで提供されています。回避策のみを適用していた組織は、ネットワークアクセスの制限が不十分だった場合などに依然として脆弱な状態にある可能性があります。7月CPUを速やかに適用し、5月27日から6月9日の間にインターネットからアクセス可能だったPeopleSoftインスタンスについては侵害調査を実施することを推奨します。

元記事: PeopleSoft Exploit Behind 100+ Breaches Gets Patched in Oracle’s Record July CPU