Ing. Calogero Bono
Oracleは2026年10月20日、1295件の新しいセキュリティパッチを含むCritical Patch Updateを公開しました。その数日後の10月27日、脅威インテリジェンス企業のDefused Cyberが、Oracle E-Business Suiteの脆弱性CVE-2026-101767、CVSSスコア9.8を狙った探索的な攻撃試行を報告しました。Oracleの基幹ERPを運用する組織にとって重要な問題です。扱うデータには会計、給与、購買などが含まれるためです。まだパッチを適用していない組織は、最も危険な時間帯にいます。
本題に入る前に、いくつかの用語を確認しておきます。CVEは脆弱性を一意に識別するためのコードです。CVSSは脆弱性の深刻度を0から10までの尺度で示したものです。RCEはリモートコード実行の略で、攻撃者が他人のサーバー上でコマンドを実行できることを意味します。SQLインジェクションは、Webリクエストにデータベースの命令を忍び込ませる攻撃手法です。EBSはOracle E-Business Suite、つまり統合業務管理スイートのことです。
10月にOracleが公開した内容
Oracleの公式アラートによると、Critical Patch Updateには複数の製品ファミリーにわたる1295件の新しいパッチが含まれています。データベース製品だけでも新たに14件あり、サードパーティ製品のパッチも含まれています。そのうち4件の脆弱性は、認証なしでリモートから悪用できるものです。たとえば表には、データベースに含まれるOpenSSLの脆弱性がスコア9.8で掲載されています。
Oracleは、パッチが提供されるのはPremier SupportまたはExtended Supportの対象となるバージョンだけであることを改めて説明しています。サポートが終了したバージョンは、テストの対象にすらなりません。また同社は、すでに修正済みの脆弱性を狙った攻撃の報告を定期的に受けていると述べています。一部のケースでは、顧客がパッチを適用していなかったために攻撃が成功していました。
CVE-2026-101767の仕組みは?
この問題は、EBSのApplication Object Libraryにおける認証の不備です。The Hacker Newsによると、Horizon3.aiの研究者Brandon Peterson、Jimi Sebree、Noah Kingが2026年7月24日にOracleへ報告しました。
攻撃の連鎖
Horizon3.aiは、この問題を認証不要のSQLインジェクションとして説明しています。Thin Client Frameworkのservletに存在し、連鎖させるとリモートコード実行に至ります。/OA_HTML/AppsTCFServerへ細工されたリクエストを送ることで、データベースユーザーAPPSの権限でSQLを実行できます。そこからEBSアプリケーションアカウントの権限で、オペレーティングシステムのコマンドに到達します。
危険にさらされるデータ
Horizon3.aiは、導入環境によっては財務記録、給与、人事、購買のデータが影響を受ける可能性があると警告しています。インターネットに公開されているシステムが最もリスクが高いものです。ただし、攻撃者が侵害済みのシステムや別のネットワークセグメントからservletに到達できれば、社内のシステムも被害を受ける可能性があります。
脆弱なシステムを探しているのは誰か?
Defused Cybersは、同社のおとりシステムが10月27日にCVE-2026-101767を狙う探索的なエクスプロイトを記録したと発表しました。BleepingComputerは、Oracleがこの脆弱性をまだ積極的に悪用されていると分類していないと伝えています。Shadowserverは670を超える公開EBSインスタンスを確認しており、その多くは米国のアドレスにあります。ただし、そのうちどれがおとりで、どれがすでに保護されているかは示されていません。
背景も重要です。情報源によると、CVE-2025-61882は恐喝グループのClopに利用され、別のPeopleSoftの脆弱性はShinyHuntersに悪用されました。BleepingComputerによれば、CISAは2021年11月以降、Oracleの46件の脆弱性を積極的な悪用が確認されたものとして登録しており、そのうち13件はランサムウェア攻撃にも使われています。
すぐに更新できない場合の対策
first response は依然としてアップデートです。すぐに適用できない場合、The Hacker Newsは次の対策を挙げています。
- EBSのURLファイアウォールの許可リストから/OA_HTML/AppsTCFServerを削除する。
- EBSのWebレイヤーへのアクセスを信頼できるネットワークに限定する。
- アプリケーションホストとデータベースで、侵害の兆候を監視する。
Horizon3.aiは侵害の痕跡(IoC)も示しています。認証なしのPOSTリクエストが/OA_HTML/AppsTCFServerに届く、その直後にSQLの偵察が行われる、$APPLPTMPに想定外のファイルが現れる、oracleアカウントがConcurrent Manager経由で/bin/shを起動する、といったものです。Oracleは、プロトコルの遮断や権限の削除がアプリケーションの機能を壊す可能性があるため、本番以外の環境で先に検証するよう注意しています。
把握しておくべき制約
Oracleが積極的な悪用を確認したという情報はありません。Defusedが報告しているのは、おとりシステムに対する探索的な試行であり、侵入に成功したケースではありません。Shadowserverはこれを区別できないため、依然として脆弱なインスタンスがどれだけあるのかはわかりません。また、手元にあるOracleの表は途中で切れているため、このサイクルのすべての脆弱性を紹介することはできません。公開されたエクスプロイトコードが出てくれば、状況は急速に変わる可能性があります。
デジタル業務に携わる人への影響
自社または顧客がEBSを使っているなら、このパッチは計画して後日行うものではなく、直ちに適用すべきものです。修正からスキャンの検知までにかかった時間はわずか1週間でした。servletがインターネットから到達可能かどうかを確認し、社内ネットワークから誰がアクセスできるかも確認してください。
EBSと連携する開発を担当している人は、インスタンスとバージョンの棚卸しをやり直すべきです。他社のサーバーを預かる人は、どのシステムがサポート終了しているかを把握しておく必要があります。サポート終了したシステムにはパッチが提供されないからです。組織の運用面では、セキュリティアップデートを管理してくれるホスティングを利用すると、この終わりのない対応の負担の一部を減らせます。攻撃者が脆弱性探索を自動化しているというテーマについては、自律型AIハッカーとイタリアの中小企業への影響についての記事で扱ったことがあります。
編集部の見解
重要なのは脆弱性そのものよりも、そのスピードです。パッチ公開からわずか1週間で探索が始まったということは、多くの企業の四半期ごとの計画では、公開されたソフトウェアへの対応には遅すぎるということを意味します。Oracleが遅滞なくパッチを適用するよう強く訴えるのは正しいことです。ただし、1295件の修正を含むアラートは、担当者が一人しかいない小規模企業には消化しきれない量です。
ひとつ指摘しておきます。給与や取引先の情報が詰まった基幹ソフトウェアは、誰も触りたがらないため、広すぎるネットワークからアクセス可能なままになっていることがよくあります。露出している範囲を減らすコストは、どんなインシデントの損害よりも小さいものです。社内に専任チームがない組織は、社内ソフトウェアのセキュリティを一度きりの作業ではなく、継続的なプロセスとして扱うべきです。
よくある質問
CVE-2026-101767はすでに積極的に悪用されていますか?
公式な確認はありません。Oracleはまだ悪用済みとしては分類していませんが、Defused Cyberは10月27日に、自社のおとりシステムで探索的な試行を記録しています。
この脆弱性はどれほど深刻ですか?
CVSSスコアは9.8です。BleepingComputerによると、HTTPアクセスができる認証されていない攻撃者が、低い複雑さの攻撃でシステムを乗っ取れるとされています。
どのシステムが影響を受けますか?
Oracle E-Business Suite、特にApplication Object Libraryと、Thin Client Frameworkのservletです。提供された情報源には対象バージョンの一覧がないため、Oracleのアラートを確認してください。
パッチを適用できない場合はどうすればよいですか?
ファイアウォールの許可リストから/OA_HTML/AppsTCFServerのパスを削除し、Webレイヤーへのアクセスを信頼できるネットワークに限定してください。ホストとデータベースを監視し、変更はすべて先に本番以外の環境で検証してください。
社内のシステムも危険にさらされていますか?
はい。The Hacker Newsによると、攻撃者が侵害済みのマシンや別のネットワークセグメントからservletに到達すれば、社内のシステムも攻撃を受ける可能性があります。
今後数週間の3つの対応
今後数か月は、OracleやCISAがこの脆弱性を積極的な悪用と分類するかどうか、また公開エクスプロイトが現れるかどうかに注目してください。とりあえず、次のことから始めてください。
- 10月のCritical Patch UpdateをEBSのインスタンスに適用する。まずは公開されているものから行う。
- ログで/OA_HTML/AppsTCFServerへのリクエストと、Horizon3.aiの指標を確認する。
- サポートが終了したバージョンの一覧を作り、アップグレードを計画する。
