注目gcp2分
ShinyHunters、Oracle PeopleSoft CVE-2026-35273 (CVSS 9.8) をゼロデイ悪用し教育機関を標的
30秒で把握
- 1ShinyHuntersがCVE-2026-35273（CVSS 9.8）をゼロデイ悪用・100超組織を侵害
- 2攻撃期間は2026年5月27日〜6月9日・対象の68%が高等教育機関
- 3Oracleパッチは6月10日付・悪用はパッチ公開前に先行して発生
要約
MandiantとGoogle脅威インテリジェンスグループは、脅威アクターUNC6240（ShinyHunters）が2026年5月27日〜6月9日にかけてOracle PeopleSoftのEnvironment Managementコンポーネントに存在するリモートコード実行脆弱性CVE-2026-35273（CVSS 9.8）をゼロデイとして悪用したことを確認した。攻撃はPSEMHUBエンドポイントを標的とし、侵害・恐喝キャンペーンとして展開された。影響を受けた可能性のある100超のグローバル組織に通知が行われ、そのうち68%が高等教育機関だった。Oracleの公式アドバイザリは2026年6月10日付であり、脆弱性はパッチ公開前に積極的に悪用されていた。
あなたへの影響
Oracle PeopleSoftを教育機関・大学で運用しているチームは、CVE-2026-35273に対するOracleの6月10日付パッチを即日適用し、PSEMHUBエンドポイントへの外部アクセスを遮断、侵害痕跡（コマンド実行ログ・不審プロセス）を即時確認すること。
推奨：ゼロデイ悪用の期間（5月27日〜6月9日）にアクセスログが残っているか合わせて調査を推奨。