PeopleSoft CVE-2026-35273、ゼロデイ悪用が確定 日産も被害公表

Oracleが、大企業や大学・官公庁の人事・給与システムとして広く使われる「PeopleSoft」に、ログインなしでサーバーを丸ごと乗っ取られる脆弱性があると公表し、四半期の定例パッチを待たずに緊急の修正を出しました。番号は CVE-2026-35273、深刻度は最高クラスの CVSS 9.8（Critical） です。認証も利用者の操作も不要で、ネットワーク越しにそのまま遠隔操作（コード実行）まで到達します。

Oracleは通常、脆弱性の修正を四半期に一度の「定例パッチ（Critical Patch Update）」でまとめて配布します。それを待たず、2026年6月10日付で単独の緊急アラート（Security Alert）として公開しました。Oracleが定例外でアラートを出すのは異例で、それ自体がこの欠陥の危険度を物語っています。Oracle自身も「即時の対応を強く推奨する」と異例の表現で呼びかけています。

さらに見過ごせないのが、ほぼ同じタイミングで 攻撃グループ「ShinyHunters」がPeopleSoftサーバーから大量のデータを盗み出しているとの報道 が出ている点です。100を超える組織、300規模のシステムが標的とされ、大学・教育機関が中心と報じられています。この攻撃がCVE-2026-35273の悪用によるものであることは、その後MandiantとGoogle Threat Intelligence Groupの分析で確認されました（次章で詳述）。対象システムを持つ組織は今すぐパッチを当てるべき状況です。

【続報・8月12日】原因の食い違いが決着。ただし「被害企業リスト」には誤りが混じっています

7月29日の続報から2週間、新しい被害公表も追加のパッチも出ていません。動いたのは、これまで曖昧だった2点の決着です。

原因は「SSRFが入口、デシリアライズが実行」で確定

この脆弱性の中身については、報じる媒体によって「SSRF（サーバーを踏み台にして内部へ通信させる欠陥）」と書かれたり「デシリアライズ（データを部品に組み立て直す処理の欠陥）」と書かれたりして、読む側が混乱する状態が続いていました。Trend Microの技術解説が、これを多段の連鎖として整理しています。

入口はSSRFです。外部に開いた連携用の窓口を経由して、本来は内部からしか触れないはずの部品へ到達します。最後に命令が動くのはデシリアライズのほうで、業務サーバーの内部で悪意あるXMLが部品として組み立て直されたときに発火します。厄介なのは、この仕込みがサーバーの再起動時に動き出す設計になっている点です。攻撃した瞬間には何も起きないため、痕跡が残りにくくなります。

つまり「SSRFかデシリアライズか」ではなく、両方が順番に起きているのが正解でした。ただし脆弱性の分類そのものは割れたままで、米国立標準技術研究所（NIST）と米政府の攻撃確認リストは、いまも「重要な機能に認証がかかっていない」（CWE-306）として登録しています。

発見者についても、Oracleの緊急勧告の謝辞欄で確認が取れました。Bobby Gould氏、Lucas Miller氏、Minh Giang氏の3名です。実証コード（PoC）の公開は、8月12日時点でも確認できていません。

出回っている「被害企業リスト」には、無関係の会社が混ざっています

ここは注意して書きます。7月上旬以降、この脆弱性の被害企業としてクボタの北米法人とアフラック生命保険（日本）を並べたまとめ記事が流通しています。当サイトはこれを採用しません。一次寄りの報道と突き合わせると、時期が合わないためです。

どちらも大きな事故であることに変わりはありませんが、この脆弱性が原因だという裏付けは取れていません。まとめ記事の側が、同じ時期に起きた別々の事故を束ねてしまった可能性が高いと見ています。当サイトが被害として扱うのは、引き続き日産・NAIC・ノッティンガム大学の3件です。高等教育機関の新規公表も、8月12日時点では確認できていません。

「7月の四半期パッチで直った」も正確ではありません

もう一つ、報道で見かける「7月の四半期パッチ（CPU）で恒久修正された」という表現も、そのままでは誤解を招きます。Oracleの緊急勧告は6月10日の初版から一度も改訂されておらず、7月の四半期パッチの本文にこの番号は1回も出てきません。実体は6月10日の緊急勧告と、6月16日のセキュリティパッチ更新です。四半期パッチは過去の修正を積み上げて含むため、「7月のを当てれば結果的に入っている」という意味でそう書かれているにすぎません。まだ当てていない組織が待つべき対象ではないということです。

【続報・7月29日】攻撃者はShinyHuntersと確定、日産・NAICが被害を公表

本記事が当初「まだ裏が取れていない」としていた最大の論点は、決着しました。MandiantとGoogle Threat Intelligence Groupが2026年6月11日、ShinyHunters（Googleの追跡名UNC6240）によるCVE-2026-35273のゼロデイ悪用を確認したと公表しました。観測された悪用期間は2026年5月27日から6月9日で、Oracleが緊急アラートを出した6月10日より前です。Googleは影響を受けた可能性のある100超の組織に通知しており、そのうち68%が高等教育機関でした。盗まれたデータは6月9日にShinyHuntersのリークサイトへ掲載されています。

攻撃者側は侵入後、正規のクラウドエンドポイントを装ったMeshCentralエージェントを踏み台環境に置き、管理コマンドの実行や、横展開とWeb改ざんを行う独自スクリプトの配布に使っていたことも報告されています（The Hacker News）。単発のデータ持ち出しではなく、内部での足場作りまで踏み込んだ活動です。

被害側の公表も出そろい始めました。日産（Nissan Americas）は2026年6月29日、本脆弱性の悪用による従業員情報の侵害を公表。米国・カナダ・メキシコ・ブラジルの現従業員と元従業員が対象で、漏えいの可能性がある項目には社会保障番号や銀行口座が含まれます。同じ6月29日にはNAIC（全米保険監督官協会）も侵害を認めました。詳細は「被害を公表した組織」の章にまとめています。

技術面でも前進がありました。Oracle自身は内部構造を伏せたままですが、Rapid7が根本原因をSSRF（CWE-918）からのRCEと整理し、悪用に使われる2つのエンドポイントと具体的な緩和策を公開しています。パッチ適用までの時間を稼ぐ手段が手元にある状態になったので、「技術詳細」の章に追記しました。

なお、一部の媒体が「ShinyHuntersは別の脆弱性CVE-2026-35278を本CVEとチェーンさせて認証前RCEを成立させた」と書いていますが、この主張の裏は取れていません。Mandiant・Rapid7・SecurityWeekはいずれもCVE-2026-35273単独の悪用しか記載しておらず、CVE-2026-35278についてはNVDもCISA-ADPも「公に知られた悪用はない」としています。本記事では採用しません。

【続報・6月13日】CISAが「悪用確認」リストに登録、米政府機関に6月15日までの是正期限

本記事の公開後、状況が大きく動きました。2026年6月12日付で、米国土安全保障省のサイバーセキュリティ機関CISAが、CVE-2026-35273を「実際に悪用が確認された脆弱性」のカタログ（KEV：Known Exploited Vulnerabilities）に追加しました。これにより、本記事が当初「未確認」としていた「この脆弱性が現実に攻撃されているか」という点が、公式に裏づけられたことになります。

CISAはこの脆弱性を「重要な機能の認証欠落（Missing Authentication for Critical Function）」と分類したうえで、米連邦政府機関に対し2026年6月15日までという極めて短い是正期限を設定しました。登録から数日しか猶予を与えないのは、危険度が高く対応を急ぐべきと判断されたときの対応です。加えてCISAは、この脆弱性がランサムウェア攻撃で使われていることが判明している（known ransomware campaign use: Known）と明記しました。ShinyHuntersのデータ窃取と本CVEの結びつきについても、KEV登録の前日にあたる6月11日付のMandiantの分析で裏づけが取れています（冒頭の続報を参照）。

対応の結論は変わりませんが、優先度は最上位に引き上げるべきです。連邦機関のような法的期限は民間企業や日本の組織にはかかりませんが、危険度が「理論上」から「現に攻撃されている」段階へ移った意味は重大です。PeopleTools 8.61／8.62を運用する組織は、Oracleの緊急パッチ適用を最優先タスクとして即時実行してください。最新のKEV登録状況は CISA KEVダッシュボード（日本語版） でも確認できます。

PeopleSoftとは何か、乗っ取られると何が危ういのか

PeopleSoft（ピープルソフト） は、Oracleが2005年に買収した大規模な業務システム（ERP）です。人事、給与、勤怠、財務・会計、調達、大学向けの学務管理（Campus Solutions）などを一つの基盤でまとめて扱い、大企業・大学・政府機関が組織の根幹データを預ける土台として使っています。国内でも トヨタ自動車が人事・給与システムにPeopleSoftを採用した事例 が知られているなど、日本の大手企業や大学でも稼働しています。

ここで効いてくるのが、「PeopleSoftは組織でもっとも秘匿性の高いデータが集まる場所だ」という点です。全従業員・全学生の氏名、住所、給与額、銀行口座、評価、社会保障に関わる情報が一カ所に集約されています。その基盤を乗っ取られれば、攻撃者はこれらを丸ごと読み出せるうえ、サーバー上で自由にプログラムを動かせるため、データの書き換え、別システムへの足がかり、ランサムウェアの展開まで一気につながります。守りの言葉でいえば、情報を盗む（機密性）・書き換える（完全性）・止める（可用性）のすべてが同時に崩れる、最悪の組み合わせです。

今回の脆弱性が特に重いのは、その乗っ取りに 正規のIDもパスワードも要らない 点です。インターネットから到達できる場所にPeopleSoftの該当機能を公開していれば、認証画面の手前から侵入されます。過去の調査では、インターネットに直接公開されたPeopleSoftが世界で500件以上見つかり、その多くが大学だった と報告されており、攻撃者にとって狙いやすい標的が一定数存在することがわかっています。

あなたの組織は対象か、バージョンで見分ける

Oracleのアラートが対象として挙げているのは、PeopleSoftの土台ソフト「PeopleTools」の特定バージョンです。PeopleTools上で動くPeopleSoftアプリケーション（HCM＝人事、Financials＝財務、Campus Solutions＝学務など）を使っている組織は、土台のバージョン次第で影響を受けます。

問題があるのは「Updates Environment Management」というコンポーネントです。これはPeopleSoftの環境管理・パッチ配信を担う「Environment Management Framework（環境管理の仕組み）」に対応すると見られ、Webサーバー上で動く部品であるため外部から到達されやすい性質があります。自組織のPeopleToolsのバージョンと、該当機能をどこまで外部に公開しているかを、まず棚卸ししてください。

この穴を最初に踏みにくるのは誰で、何を持ち去るのか

Oracleが四半期の定例を待たずに単独でパッチを出すのは異例で、それ自体が「悠長に構えていられない穴」だというサインです。攻撃者の側から何が起きるかを具体的に見ておきます。前提条件は驚くほど軽く、該当機能にネットワークから一通のリクエストを届けられること、ただそれだけです。

狙ってくるのは、漠然としたハッカーではありません。盗んだデータで身代金を要求する恐喝集団（本CVEを悪用した「ShinyHunters」がまさにこれです）、侵入経路を企業に高値で売りさばく初期アクセスブローカー、大学や企業の人事情報そのものを商品として欲しがる者たちです。彼らが取りに来るのは、全従業員・全学生の氏名と住所、給与額、銀行口座、人事評価、社会保障に関わる番号、そして財務システムへの入口です。認証画面の手前から、このコンポーネントへ一通のHTTPリクエストが通った瞬間、その人事サーバーは中身もろとも相手の手に渡ります。

技術的に見ると、これは正規利用者を装う必要すらない「認証前」の侵入で、しかも侵入後はサーバー上で任意のプログラムを動かせます。つまり、最初の一歩がそのまま組織内部への足がかりになり、そこから別のシステムへ横移動し、最終的にネットワーク全体を掌握する筋道が描けます。ShinyHuntersのキャンペーンは、100を超える組織・300規模のシステムを標的とし、教育機関を中心に現実の被害を生みました。攻撃面が「人事の心臓部」であるほど、一件の侵入が組織全体に響きます。

CVSS 9.8という数字は、技術的な深刻度の最高値を示すラベルにすぎません。PeopleSoftを人事・給与・学務の土台として信頼してきた大学や企業にとって本当に失われるのは、全職員・全学生の人生の記録——給与、口座、住所、評価——が、認証もこじ開けられないまま一度にまとめて持ち去られることです。守りの中心を奪われれば、そこにぶら下がるすべての個人が攻撃者の射程に入ります。

CVE-2026-35273を技術的に見る、どこで何が起きるのか

CVE-2026-35273：認証不要でPeopleToolsを乗っ取る遠隔コード実行

CVE-2026-35273 のCVSSベクトルは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。ネットワーク経由（AV:N）で、攻撃の難易度は低く（AC:L）、権限は不要（PR:N）、利用者の操作も不要（UI:N）、その結果として機密性・完全性・可用性のすべてに深刻な影響（C:H/I:H/A:H）が及びます。認証の前段から遠隔・無人で完全侵害に至るという、評価上もっとも悪い条件の組み合わせで、9.8という数字はここから来ています。

問題のあるコンポーネント「Updates Environment Management」は、PeopleSoftの各環境（開発・検証・本番）の状態を集約し、パッチや設定を配るための仕組みです。Webサーバー（PeopleSoft Internet Architecture）上で動くWebアプリとして起動するため、ネットワークから到達しやすく、今回の「認証不要・HTTP経由」という条件とかみ合います。Oracleのアラートは脆弱性の具体的な内部構造（どのような処理の不備でコード実行に至るか）を公開していません。これは攻撃の再現を容易にしないための通例です。ただし公開後、第三者の分析によって根本原因と攻撃経路は明らかになりました（次項）。なお発見者は脆弱性の取引・調整を行う Trend Zero Day Initiative（ZDI） の研究者とされていますが、本記事執筆時点でクレジットの公式確認は取れていません。

第三者が公開した根本原因と攻撃経路

Rapid7の分析 は、本脆弱性の根本原因を SSRF（サーバーサイドリクエストフォージェリ、CWE-918） と整理しています。サーバー自身に攻撃者の意図するリクエストを送らせる不備が、最終的にコード実行の踏み台として機能する形です。Mandiantの観測では、悪用に使われるエンドポイントは /PSEMHUB/hub と /PSIGW/HttpListeningConnector の2つでした。根本原因の呼び方は媒体によって揺れがあり、「/PSEMHUB/hub の安全でないデシリアライズ」と説明するものもあります。本記事はRapid7のCWE-918表記を基準にしています。

実務上重要なのは、Rapid7が併せて示した緩和策です。パッチ適用の段取りがすぐ組めない環境でも、ここから着手できます。

外向きSMBの監視を軽く見ないでください。悪用の過程で標的サーバーが外部宛にSMB接続を張ることがあり、そこでWindowsのマシンアカウントのNetNTLMハッシュを奪われます。人事サーバーの乗っ取りにとどまらず、ドメイン側への横移動につながる経路です。業務でPeopleSoftサーバーが外部の445番ポートへ出ていく必然性はまずないので、検知ルールとしても素直に効きます。

攻撃インフラ側の情報も出ています。Horizon3.aiは、悪用に使われたIPとして 142.11.200[.]186〜190、108.174.202[.]99、176.120.22[.]24 を公開しました。ネットワークログの遡り調査に使えます。これらは攻撃インフラの指標であって、公開された実証コード（PoC）ではありません。PoCが一般に出回っているかどうかは、現時点でも確認できていません。

PeopleSoftはこれまでも、認証不要のファイル読み取り（CVE-2023-22047）や、データの取り扱いの不備による遠隔コード実行（CVE-2025-30748）など、外部から踏める脆弱性が繰り返し報告されてきました。今回のCVE-2026-35273とこれら過去事案との直接の技術的関連は確認されていませんが、人事基盤という高価値の標的に対し、認証前の攻撃面が狙われ続けているという構図は共通しています。Oracle製品では WebLogic Serverの脆弱性が実際に悪用されCISAが緊急是正を指示した例 もあり、「Oracleの基盤製品＝攻撃者の優先標的」という前提で備える必要があります。

被害を公表した組織、何がどこまで出たのか

「100超の組織が標的」という数字は、公表が進むにつれて具体的な社名に変わりつつあります。現時点で公になっている3件を整理します。

日産のケースは、人事基盤を預ける企業が何を失うのかを最も具体的に示しています。同社の カリフォルニア州司法長官宛の届出 によれば、Nissan AmericasはPeopleSoftで給与・税務管理を含む従業員情報を扱っており、アクセスされた可能性のある個人情報として従業員の連絡先、銀行口座情報、社会保障番号（SSN）、社会保険番号（SIN）、国民識別番号、財務・税務情報、扶養者および受益者の情報が挙げられています。対象は米国・カナダ・メキシコ・ブラジルの現従業員と元従業員です。給与明細の閲覧と振込口座の変更を社内ネットワークまたはVPN経由に限定し、給与処理の前に追加の本人確認を挟む運用へ切り替えた、とも説明しています。自組織のPeopleSoftに同じ種類のデータが載っているかを、この一覧に照らして確認してください。

NAIC は6月11日にPeopleSoftへの不正アクセスを検知し、侵害自体は認めたうえで攻撃者の主張に反論しています。持ち出されたのは既に公開されている法定財務報告、格付機関のデータ、古いログ、設定情報にとどまり、個人情報や財務データが流出した証拠はない、という立場です。SERFF・OPTins・SBSといった保険規制の基幹システムが侵害されたという攻撃者側の主張も明確に否定しました。一方でShinyHuntersは6月25日更新の告知で3.1TB・105,000ファイルを保有すると主張しており、双方の説明には大きな隔たりがあります。それでも格付機関がデータ連携を一時停止するなど、業務への影響は現実に出ました。「重要データは出ていない」と説明できる組織でも、事業は止まるという実例です。

英ノッティンガム大学は、在学生・卒業生およそ455,000件分、40GBを超えるデータが公開される事態になりました。氏名・住所・電話番号に加え、パスポート番号や民族・障害に関する情報まで含まれます。取り返しがつかない種類の情報が並んでおり、Mandiantが通知した組織の68%が高等教育機関だったという数字と重ねると、同種の公表は今後も続くと考えるのが自然です。

同時期のShinyHunters攻撃との関係、確認済みと未確認を分ける

緊急アラートと前後して、PeopleSoftを狙う大規模なデータ窃取攻撃が報じられました。当初は関連が不明でしたが、その後の第三者分析で多くが確定しています。何が裏づけられ、何がまだ残っているかを整理します。

帰属も根本原因も確定した以上、対応に迷う余地はありません。認証不要で乗っ取れる9.8の欠陥が、パッチ公開より2週間前からゼロデイとして使われ、実在の企業から給与データが抜かれている——対象組織が取るべき動きは「今すぐパッチ、当てられないなら経路を塞ぐ」の二択です。確証ある関係者・研究者のX（旧Twitter）投稿は本件について確認できなかったため、本記事では埋め込みは行いません。

影響と対策 早見表

Oracleの月例・定例パッチの動向は こちらの記事 でも追っています。2026年7月21日の定例パッチ（Critical Patch Update）にはPeopleSoft向けの修正が84件含まれ、うち45件は認証なしで遠隔から悪用可能なものでした。本CVE専用の追加パッチは6月10日の緊急アラート以降確認できていないので、6月のアラート分を当てたうえで、7月分も通常の手順で反映してください。

管理者がいま取るべき動き

PeopleSoft（PeopleTools 8.61／8.62）を運用するすべての組織が対象です。優先順に整理します。

1. Oracleの緊急パッチを即適用する。本筋の対応はこれです。Oracleのセキュリティアラート から各バージョンの修正（Patch Availability Document）に進み、My Oracle Support経由でパッチを入手して適用してください。次回の定例パッチを待たず、計画外のメンテナンス枠を取ってでも前倒しすべき案件です。

2. 悪用経路を外部から遮断する。攻撃はネットワーク経由で成立します。境界やファイアウォールで /PSEMHUB/* と /PSIGW/HttpListeningConnector への外部アクセスを止めてください。Mandiantによれば、この遮断は通常のPIA（PeopleSoft Internet Architecture）ブラウザ利用を壊しません。加えて、複数サーバー構成ならEMHubサービスの無効化、単一サーバー構成ならPSEMHUBアプリケーションの削除が緩和策として示されています。パッチ適用までの時間を稼ぐ手段として最優先です。

3. 外向きSMB（TCP 445）を監視する。悪用の過程で、PeopleSoftサーバーが外部の宛先へSMB接続を張り、Windowsのマシンアカウントのハッシュを奪われることがあります。PeopleSoftサーバーが業務でインターネット側の445番ポートへ出ていく理由はまずないので、この通信を検知対象に加えるだけで、悪用の兆候を早い段階で拾えます。

4. 侵害の有無を点検する。悪用は2026年5月27日まで遡ります。パッチ公開前から狙われていた以上、「すでに入られていないか」を前提に動いてください。Webサーバーのアクセスログで /PSEMHUB/hub と /PSIGW/HttpListeningConnector への外部からのPOSTを洗い、ファイル側では PSEMHUB.war 配下の見慣れない .jsp ファイル、envmetadata/transactions 配下の不審なファイル、logs・persistantstorage・scratchpad という名前のディレクトリを確認します。Horizon3.aiが公開した攻撃元IP（142.11.200[.]186〜190、108.174.202[.]99、176.120.22[.]24）も、ログ突き合わせに使えます。

5. 影響範囲を整理し、関係者への備えを進める。PeopleSoftには従業員・学生の個人情報が集中しています。日産の届出で挙がった項目——連絡先、銀行口座、社会保障番号や国民ID、財務・税務情報、扶養者・受益者の情報——を自組織のデータに当てはめ、対象データの棚卸し、個人情報保護委員会等への報告体制、本人への通知方針を確認しておいてください。日産は給与明細の閲覧と振込口座の変更を社内ネットワークまたはVPN限定に切り替えていますが、給与関連の操作を絞る対応は他社でもすぐ真似できます。

まとめ、認証なしで開く人事の金庫に、Oracleが異例の緊急パッチ

CVE-2026-35273で浮き彫りになったのは、組織でもっとも秘匿性の高いデータが集まる人事・給与の基盤PeopleSoftを、IDもパスワードもなしに遠隔から乗っ取れるという構図です。しかもこの穴は、Oracleが緊急パッチを出す2週間前からゼロデイとして使われていました。MandiantがShinyHunters（UNC6240）の犯行と確認し、CISAがKEVに登録し、日産とNAICが被害を公表した——推測の段階はとうに過ぎています。

やるべきことは明快です。PeopleTools 8.61／8.62を使う組織は、Oracleの緊急パッチを今すぐ適用すること、当てられない間は /PSEMHUB/* と /PSIGW/HttpListeningConnector を外部から遮断し外向きSMBを監視すること、5月27日まで遡ってログとファイルを点検すること。日産の届出に並んだ漏えい項目は、そのままどの企業の人事システムにも載っているものです。人事の金庫の鍵が認証なしで開く状態にある以上、対応に「様子見」の選択肢はないと考えるべきです。

参照元

• ▸Oracle - Security Alert CVE-2026-35273
• ▸Oracle公式ブログ - Security Alert CVE-2026-35273 Released
• ▸NVD - CVE-2026-35273
• ▸TechCrunch - Cybercriminals claim breach of Oracle PeopleSoft servers at 100+ organizations
• ▸BleepingComputer - Oracle PeopleSoft servers hacked in ShinyHunters data theft attacks
• ▸SecurityWeek - Many Organizations Using Oracle PeopleSoft Vulnerable to Attacks
• ▸SecurityWeek - Google Confirms Exploitation of Oracle PeopleSoft Zero-Day by ShinyHunters
• ▸Rapid7 - Active Exploitation of Oracle PeopleSoft Zero-Day (CVE-2026-35273)
• ▸The Hacker News - ShinyHunters Exploits Oracle PeopleSoft Zero-Day
• ▸BleepingComputer - Nissan discloses employee data breach linked to Oracle zero-day attacks
• ▸BleepingComputer - NAIC says public data stolen in ShinyHunters' PeopleSoft breach
• ▸Oracle Docs - Environment Management Framework
• ▸CISA KEV カタログ