Oracle PeopleSoft PeopleTools 認証欠如（システム乗っ取り）

情報取得日: 2026/06/12／最終確認: 2026/08/23・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-35273
製品	Oracle / PeopleSoft Enterprise PeopleTools
CVSS	9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-306 重要機能の認証欠如
登録／公開日	2026/06/12
KEV 期限	2026/06/15 まで（米国連邦機関向け目安）
推奨対応	ベンダー指示に従って緩和策を適用（BOD 26-04 準拠）
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-35273

概要

Oracle PeopleSoft Enterprise PeopleTools（8.61・8.62）における重要機能の認証欠如。未認証攻撃者が HTTP 経由でシステムを完全に乗っ取れる。ランサムウェア/データ窃取キャンペーンでの悪用が確認されている。Oracle は 2026 年 6 月の Critical Security Patch Update（および専用セキュリティアラート）で修正を提供済み（Patch Availability Document ID: CPU187）。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 上の PeopleSoft に 2026 年 6 月 CPU（CPU187）のパッチを適用自己管理エンタープライズアプリ。AWS 固有の修正提供はなく利用者側で適用。パッチは Oracle Support から入手。参照リンク
GCP	パッチあり（アプリ更新）	GCE 上の PeopleSoft に 2026 年 6 月 CPU（CPU187）のパッチを適用 GCP 固有の修正提供は確認できず。利用者側で適用。パッチは Oracle Support から入手。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM 上の PeopleSoft に 2026 年 6 月 CPU（CPU187）のパッチを適用 Azure 固有の修正提供は確認できず。利用者側で適用。パッチは Oracle Support から入手。参照リンク
Linux	パッチあり（アプリ更新）	Linux 上の PeopleSoft に 2026 年 6 月 CPU（CPU187）のパッチを適用 Oracle 独自製品。ディストリのパッケージ対象外、Oracle 公式アラートに従い適用。参照リンク

解決の方向性（パッチ／回避策／代替）

Oracle の 2026 年 6 月 CPU（セキュリティアラート CVE-2026-35273）のパッチを緊急適用するのが最優先。Environment Management Hub をインターネットに公開しない、アクセス制御を強化する回避策を併用。パッチは Oracle Support（Patch Availability Document ID: CPU187）から入手する。

よくある質問（CVE-2026-35273）

CVE-2026-35273（PeopleSoft Enterprise PeopleTools）の影響は？

Critical（CVSS 9.8）に分類されるOracle PeopleSoft Enterprise PeopleToolsの脆弱性です。Oracle PeopleSoft Enterprise PeopleTools（8.61・8.62）における重要機能の認証欠如。未認証攻撃者が HTTP 経由でシステムを完全に乗っ取れる。ランサムウェア/データ窃取キャンペーンでの悪用が確認されている。Oracle は 2026 年 6 月の Critical Security Patch Update（および専用セキュリティアラート）で修正を提供済み（Patch Availability Document ID: CPU187）。

CVE-2026-35273 の対応方法・回避策は？

自分の環境が CVE-2026-35273 の影響を受けるか確認するには？

Oracle PeopleSoft Enterprise PeopleTools を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-35273）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-35273 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/15 です。推奨される対応: ベンダー指示に従って緩和策を適用（BOD 26-04 準拠）