Oracle PeopleSoftの重大な脆弱性を狙う大規模攻撃が再燃、WAFを回避する新手法でWebシェルを設置

要点

• Google傘下のMandiantは、Oracle PeopleSoftの深刻な脆弱性「CVE-2026-35273」を悪用した大規模なサイバー攻撃が世界規模で再燃していると警告した。

• 脅威グループ「UNC6240」はURLエンコードを用いてWAFの検知をすり抜け、システム内にバックドアやWebシェルを設置している。

• 被害対象は教育、医療、IT、政府機関など多岐にわたり、窃取したデータをもとに金銭を要求する恐喝行為が懸念されている。

• Googleはパッチ適用や機能の無効化、ログ調査や認証情報の再設定などの対策手順を提示し、注意を呼びかけている。

• Googleと同社傘下のセキュリティ企業Mandiantは2026年9月26日、企業向け業務管理システム「Oracle PeopleSoft」に存在する深刻な脆弱性を狙った大規模な攻撃キャンペーンが確認されたとして警告を発表した。

• 今回の攻撃は、サイバー犯罪グループ「ShinyHunters」に関連する脅威アクター「UNC6240」によるもので、Webアプリケーションファイアウォール（WAF：不正なWeb通信を検知・遮断する防御システム）の監視をすり抜ける新手法が使われているという。高等教育機関や医療、IT、政府機関など幅広い分野が標的となっており、多数のシステムで侵入被害が明らかになっている。

深刻度「9.8」の脆弱性とこれまでの悪用経緯

悪用されているのは、Oracle PeopleSoftに存在する脆弱性「CVE-2026-35273」だ。共通脆弱性評価システム（CVSS）の深刻度スコアは10点満点中「9.8」と極めて高く、認証を受けていない外部の攻撃者が遠隔から任意のコードを実行（リモートコード実行）できる危険性を持つ。
この脆弱性は2026年6月、学術機関などを標的としたゼロデイ攻撃（修正プログラムの提供前に行われる攻撃）で初めて悪用が確認されていた。当時の攻撃では、遠隔管理ツール「MeshCentral」を配置して侵入を維持し、SSHを利用してPeopleSoftの内部ネットワーク内で横展開を行ったり、既知のアカウント情報を用いてデータを窃取したりしていた。Mandiantは当時、影響を受けるエンドポイントを持つ世界100以上の組織（大半は米国）へ個別に通知を行っていた。

わずか1文字のURLエンコードでWAFの監視をすり抜ける手口

今回の新たな攻撃において、UNC6240はエクスプロイト（脆弱性悪用コード）を改良し、WAFによる遮断ルールを回避する手法を導入した。
PeopleSoftの環境管理機能「Environment Management Hub（PSEMHUB）」への通信を遮断するWAFルールに対し、攻撃者はリクエストパスの先頭文字「P」をパーセントエンコード表記の「%50」に置き換え、「/%50SEMHUB/」というパスでアクセスを試みた。
多くのWAFやリバースプロキシはURLデコード前の文字列をもとに通信を検査するため、文字列の一致を条件とする検知ルールが働かず通信を通過させてしまう。一方で、背後にあるPeopleSoftサーバーはリクエストを受け取った段階でURLデコードを実行するため、結果として脆弱なサーブレットへそのまま処理が転送され、攻撃が成立してしまうとMandiantは説明している。

侵入からWebシェル・バックドア展開に至る攻撃手順

GoogleとMandiantの分析によると、攻撃者は高等教育、テクノロジー、ITサービス、医療、農業、運輸、政府機関などのシステムを標的とし、以下のような手順で侵害を進めていた。

1. 標的の探索とコード実行: シリアライズ（直列化）されたJavaオブジェクトを含むPOSTリクエストを「/%50SEMHUB/hub」宛てに送信する。「%50」を用いたURLエンコードでWAFを回避し、PSEMHUBのJavaデシリアライゼーション（データ復元処理）の欠陥を突いてファイルレスでコマンドを実行する。
2. 2種類のWebシェル配置: 侵入後の検知を避けるため、「PSEMHUB.war」ディレクトリ内に2つのJSP Webシェル（遠隔操作用の不正スクリプト）を設置する。OS共通でコマンドを実行する「x.jsp」と、分割ファイルのアップロードや「cmd.exe」経由の実行を担う「u.jsp」が用いられた。
3. バックドア「SIDEEYE」のロード: 「u.jsp」を介して、正規の署名が付与された偽装インストーラー「Ple64.exe」をアップロードする。これがメモリ上にC++製バックドア「SIDEEYE」を展開する。SIDEEYEは外部サーバー（162.219.30[.]165）とTCP通信を行い、ブラウザやアプリの認証情報窃取、プロセス管理、対話型リバースシェルなどの機能を提供する。
4. 永続化ツールの導入: 通信を中継するトンネリングツール「Neo-reGeorg」を配置するほか、Linux環境では正規のリモート管理ツール「MeshAgent」を導入して持続的なアクセス権を確保していた。

なお、攻撃者が実行したコマンドの約4分の1は「root」または「NT Authority\SYSTEM」という最上位権限で実行されており、OS全体の完全な制御権を掌握されていた。残りのコマンドについても、PeopleSoftやWebLogicのサービスアカウント権限で動作していたという。

データ窃取型恐喝のリスクと推奨される対策

Googleによると、UNC6240は侵入先から機密データを盗み出し、身代金を支払わなければリークサイトで公開すると脅す「データ窃取型恐喝」の手口を確立している。そのため、被害を受けた可能性のある組織に対し、恐喝連絡への警戒とデータ公開リスクの監視を促している。

GoogleおよびMandiantは、被害の防止と侵害検知のために以下の対処手順を実施するよう求めている。

• 脆弱性「CVE-2026-35273」に対する修正パッチを速やかに適用する。
• 複数サーバー構成の場合はEMHubサービスを無効化し、単一サーバー構成の場合はPSEMHUBアプリケーションを完全に削除する。
• WebLogicのアクセスログを調査し、「/PSEMHUB/」やパーセントエンコードされた類似パスへのアクセス履歴を確認する。
• 「PSEMHUB.war」ディレクトリ内を検査し、JSP Webシェルなどの不審なファイルが存在しないか確認する。
• PeopleSoftのサービスアカウントがアクセス可能な各種認証情報を再設定（ローテーション）する。
• 一時ディレクトリやWeb公開ディレクトリ内に、大容量のアーカイブファイルが作成されていないか探索する。
• データベース監査ログを確認し、人事（HR）、給与（payroll）、学生記録テーブルに対する大量のデータ照会や抽出の形跡がないか精査する。
• PeopleSoftホストからの外部宛てアウトバウンド通信を監視する。