Oracle PeopleSoftの重大脆弱性CVE-2026-35273、CISAがKEV Catalogに追加

「人事や学務の基幹システムが狙われたら、職員や学生の情報が一気に抜かれるんでしゅか？」
「パッチが出る前から攻撃されてたって、それじゃ防ぎようがないんでしゅ……」

チップス

パッチより先に攻撃が始まるなんて、後手に回るしかないんでしゅか？

ボス

そう悲観するな、チップス。ゼロデイでも、悪用の兆候と優先対応を知っていれば被害は抑えられる。順を追って見ていくぞ。

本記事では、Oracle PeopleSoftの重大脆弱性CVE-2026-35273がどう悪用されたのか、そして利用組織が今すぐ取るべき対応を整理します。

読み終える頃には、ゼロデイ悪用にどう備え、どこから手を打つべきかの判断軸が手に入ります。

PeopleSoft脆弱性CVE-2026-35273の概要

まずは何が起き、どこが狙われたのかを整理します。

公表前から悪用されていたゼロデイ

CVE-2026-35273は、PeopleSoft Enterprise PeopleToolsの環境管理コンポーネントに見つかった重大な脆弱性です。
CVSSは9.8と最大級で、認証なしで遠隔からコードを実行され、システムを丸ごと掌握される恐れがあります。
Oracleが6月10日にアラートを公表しましたが、悪用はその約2週間前の5月下旬から始まっていました。
CISAは6月12日にこの脆弱性を悪用済み脆弱性カタログ（KEV）へ追加し、緊急の対応を促しています。

今回の事案のポイントは以下のとおりです。

チップス

大学がこんなに狙われるなんて、思ってもみなかったんでしゅ……。

ボス

教育機関は個人情報の宝庫で、対応体制も手薄になりがちだ。攻撃者は守りの甘いところを的確に突いてくる。

攻撃者の手口と取るべき対応

誰がどう悪用したのか、その実態を掘り下げます。

金銭目的のShinyHuntersによる窃取と恐喝

この攻撃は、金銭目的の集団ShinyHunters（UNC6240）によるものとされています。
未認証の遠隔コード実行でシステムを掌握し、内部のデータを大量に盗み出したうえで、公開をちらつかせて恐喝する手口です。
狙われたのは主に米国の大学で、職員や学生の機微な情報が一度に流出する深刻な被害につながりました。
PeopleSoftは日本でも企業や大学で広く使われており、対岸の火事とはいえません。

利用組織が取るべき対応は次のとおりです。

チップス

パッチを当てるだけじゃなく、もう入られてないか確かめることも大事なんでしゅね。

ボス

そのとおりだ。公表前から悪用されていた以上、すでに侵入された前提でログを洗うのが筋だな。

まとめ：ゼロデイは侵入前提で点検する

CVE-2026-35273は、PeopleSoftの基幹基盤を未認証で乗っ取れる重大なゼロデイで、公表前からShinyHuntersに悪用されていました。
米国の教育機関を中心に100超の組織が被害を受けており、PeopleSoftを使う日本の組織も警戒が必要です。
緩和策とパッチを急ぐと同時に、すでに侵入された前提でログを点検する姿勢が被害の連鎖を断ち切ります。
こうしたゼロデイ対応やインシデント調査の最前線で力を試したい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: SecurityWeek「Oracle Addresses PeopleSoft Vulnerability Amid Reports of Zero-Day Attacks」