ハッカー集団ShinyHuntersが5月から悪用してきた、Oracle PeopleSoft（企業向けの人事・会計などの業務システム）の重大なセキュリティホールは、1つの欠陥ではなく、3つの欠陥が連鎖したものだったことが、報告した研究者らの今週の発表で分かりました。
Oracleはこの3つの欠陥を、1つの識別番号「CVE-2026-35273」の下でまとめて6月に修正済みです。CVE番号とは、世界共通で脆弱性を区別するための管理番号のことです。つまり、パッチ自体は数か月前から提供されていましたが、修正が公表される前から攻撃に使われていたことになります。このように、修正パッチが存在しない段階で悪用される欠陥を「ゼロデイ」と呼びます。
研究者によると、連鎖の出発点にあるのはSSRF（サーバーサイド・リクエスト・フォージェリ）と呼ばれる種類の欠陥です。これは、攻撃者がサーバーをだまして、本来は外部から届かないはずの内部のシステムへ通信させてしまう弱点を指します。1つひとつは致命的でなくても、複数を組み合わせることで被害が大きくなるのが「連鎖」型の攻撃の怖いところです。
PeopleSoftを使っている組織は、6月に公開されたOracleのパッチがすでに適用されているかを、あらためて確認してください。特にインターネットから直接アクセスできる状態の場合は優先度が高くなります。あわせて、5月以降に不審なアクセスの記録がないか、ログの点検をおすすめします。