情報取得日: 2025/10/06／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-61882 |
|---|---|
| 製品 | Oracle / E-Business Suite (Concurrent Processing) |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-287 不適切な認証 |
| 登録／公開日 | 2025/10/06 |
| KEV 期限 | 2025/10/27 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-61882 |
Oracle E-Business Suite の Oracle Concurrent Processing（コンポーネントは BI Publisher Integration）に未認証で悪用可能な欠陥があり、ネットワーク経由で認証なしにリモートコード実行まで到達できる。影響を受けるサポート対象版は 12.2.3 から 12.2.14 で、Oracle は緊急のセキュリティアラート（alert-cve-2025-61882）を出し、2023 年 10 月の Critical Patch Update の適用が本アラートのパッチ適用の前提条件だと明記している。アラートには侵害の痕跡（IOC）が併記されており、走査元 IP として 200.107.207.26 と 185.181.60.11、外向き TCP 接続を張る sh -c /bin/bash -i 形のリバースシェル、公開された PoC 一式（exp.py と server.py を含む zip）の SHA-256 ハッシュ 3 件が挙げられている。謝辞には CrowdStrike と Mandiant が並び、参照にも CrowdStrike による EBS のゼロデイを狙ったキャンペーンの解析記事が載っている。CVSS は Oracle（CNA、Secondary）の 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。CISA KEV には 2025-10-06 に収載され、是正期限は 2025-10-27、そしてランサムウェアキャンペーンでの利用が Known として記録されている。NVD の vulnStatus は Analyzed である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の Oracle E-Business Suite に Security Alert CVE-2025-61882 のパッチを適用する（2023 年 10 月 CPU の適用が前提）
AWS のサービス側の問題ではない。ALB / CloudFront で公開している EBS Web 層が実際にどこから到達できるかを、WAF ログと VPC フローログで確認してから適用計画を立てる。ランサム利用が確認されているため痕跡調査を並行する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の EBS に Security Alert のパッチを適用する（前提として 2023 年 10 月 CPU）
外部 HTTP(S) ロードバランサ配下で EBS を公開している場合は、Cloud Armor で到達元を絞りつつ適用する。Cloud Logging に残るアクセスログを Oracle 公開の IOC で検索する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の EBS に Security Alert のパッチを適用する（前提として 2023 年 10 月 CPU）
Application Gateway / Front Door のログを IOC で検索し、通信の有無を確認する。IaaS 上の Oracle 製品の更新は利用者責任である点を運用手順に残す。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
OS のパッケージ更新ではなく Oracle のセキュリティアラートのパッチを適用し、あわせてホスト上の痕跡を調査する
リバースシェルの痕跡（/bin/bash -i を伴う外向き接続）、公開 PoC のファイルハッシュ一致、不審な cron やプロセスをホスト側で確認する。ランサムウェア利用が Known であるため、侵害が疑われる場合は隔離と資格情報再発行まで進める。
参照リンク
|
この CVE はランサムウェアでの利用が確認されている実弾なので、判定と適用よりも先に「既に入られていないか」を疑って動くべきものである。判定は EBS の版が 12.2.3 から 12.2.14 の範囲かを確認し（adop / AD 管理ツールの出力やパッチ台帳）、次に本アラートのパッチが適用済みかを見る。注意点として、Oracle は 2023 年 10 月の CPU を前提条件としているため、それより古い状態で止まっている環境は前提 CPU の適用から始める必要があり、想定より停止時間が長くなる。見落としやすいのは、社内利用のつもりで VPN やプロキシ経由だけと思っていた EBS の Web 層が実際にはインターネットから到達できているケース、そして検証・教育用に複製したインスタンスである。すぐ適用できない場合は、EBS の外部到達経路を止める（外向けの公開を切る、到達元を業務上必要な IP に限定する）ことが実質的な唯一の手当てになる。KEV 是正期限 2025-10-27 は今日（2026-08-17）から見て大幅に超過しているため、未適用の環境が残っているなら期限超過として最優先で扱う。そして更新だけで終わらせてはいけない。Oracle が公開している IOC を使って、アクセスログ・プロキシログに 200.107.207.26 と 185.181.60.11 からの通信が無いか、/bin/bash -i を伴う外向き TCP 接続の痕跡が無いか、公開 PoC のファイルハッシュに一致するものがサーバ上に落ちていないかを確認する。加えて、アプリ層に置かれた不審なファイル、DB 上に追加されたユーザや権限、大量のデータ読み出しの痕跡を洗う。侵害の疑いがある場合は、APPS などのデータベース資格情報、WebLogic の管理者資格情報、連携用のアカウントとキーを再発行する。完了条件は、前提 CPU とアラートのパッチが適用済みであること、外部到達経路が意図した状態であること、IOC による遡及調査の結論が出ていること、必要な資格情報の再発行が済んでいること、の四つが揃った時点である。
Critical（CVSS 9.8）に分類されるOracle E-Business Suite (Concurrent Processing)の脆弱性です。Oracle E-Business Suite の Oracle Concurrent Processing（コンポーネントは BI Publisher Integration）に未認証で悪用可能な欠陥があり、ネットワーク経由で認証なしにリモートコード実行まで到達できる。影響を受けるサポート対象版は 12.2.3 から 12.2.14 で、Oracle は緊急のセキュリティアラート（alert-cve-2025-61882）を出し、2023 年 10 月の Critical Patch Update の適用が本アラートのパッチ適用の前提条件だと明記している。アラートには侵害の痕跡（IOC）が併記されており、走査元 IP として 200.107.207.26 と 185.181.60.11、外向き TCP 接続を張る sh -c /bin/bash -i 形のリバースシェル、公開された PoC 一式（exp.py と server.py を含む zip）の SHA-256 ハッシュ 3 件が挙げられている。謝辞には CrowdStrike と Mandiant が並び、参照にも CrowdStrike による EBS のゼロデイを狙ったキャンペーンの解析記事が載っている。CVSS は Oracle（CNA、Secondary）の 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。CISA KEV には 2025-10-06 に収載され、是正期限は 2025-10-27、そしてランサムウェアキャンペーンでの利用が Known として記録されている。NVD の vulnStatus は Analyzed である。
この CVE はランサムウェアでの利用が確認されている実弾なので、判定と適用よりも先に「既に入られていないか」を疑って動くべきものである。判定は EBS の版が 12.2.3 から 12.2.14 の範囲かを確認し（adop / AD 管理ツールの出力やパッチ台帳）、次に本アラートのパッチが適用済みかを見る。注意点として、Oracle は 2023 年 10 月の CPU を前提条件としているため、それより古い状態で止まっている環境は前提 CPU の適用から始める必要があり、想定より停止時間が長くなる。見落としやすいのは、社内利用のつもりで VPN やプロキシ経由だけと思っていた EBS の Web 層が実際にはインターネットから到達できているケース、そして検証・教育用に複製したインスタンスである。すぐ適用できない場合は、EBS の外部到達経路を止める（外向けの公開を切る、到達元を業務上必要な IP に限定する）ことが実質的な唯一の手当てになる。KEV 是正期限 2025-10-27 は今日（2026-08-17）から見て大幅に超過しているため、未適用の環境が残っているなら期限超過として最優先で扱う。そして更新だけで終わらせてはいけない。Oracle が公開している IOC を使って、アクセスログ・プロキシログに 200.107.207.26 と 185.181.60.11 からの通信が無いか、/bin/bash -i を伴う外向き TCP 接続の痕跡が無いか、公開 PoC のファイルハッシュに一致するものがサーバ上に落ちていないかを確認する。加えて、アプリ層に置かれた不審なファイル、DB 上に追加されたユーザや権限、大量のデータ読み出しの痕跡を洗う。侵害の疑いがある場合は、APPS などのデータベース資格情報、WebLogic の管理者資格情報、連携用のアカウントとキーを再発行する。完了条件は、前提 CPU とアラートのパッチが適用済みであること、外部到達経路が意図した状態であること、IOC による遡及調査の結論が出ていること、必要な資格情報の再発行が済んでいること、の四つが揃った時点である。
Oracle E-Business Suite (Concurrent Processing) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-61882）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/27 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。