情報取得日: 2026/07/15／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-35278 |
|---|---|
| 製品 | Oracle / PeopleSoft Enterprise PeopleTools |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-306 Missing Authentication for Critical Function |
| 登録／公開日 | 2026/07/15 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-35278 |
Oracle PeopleSoft の PeopleTools に、認証前（未認証）のリモートコード実行脆弱性がある。PeopleSoftアプリノードの監視・管理を担う Environment Management Hub のHTTPエンドポイントが資格情報なしでネットワーク経由のリクエストを受け付けるため、到達可能な攻撃者がアプリケーションサーバ上で任意コードを実行できる（CVSS 9.8）。恐喝集団 ShinyHunters が権限昇格の CVE-2026-35273 と組み合わせ、100以上の組織・300超のPeopleSoftサーバでHR/給与/PIIを窃取する実害が報告された（特に高等教育機関を標的）。Oracle は 2026年7月の Critical Patch Update で修正。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2等でPeopleSoftを自己運用している場合はOracle 2026年7月 CPUのPeopleToolsパッチを適用。Environment Management HubをSG/WAFで限定公開に。
顧客管理アプリの脆弱性。AWS固有対応ではなくOracleパッチで対応。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine上でPeopleSoftを運用している場合はOracle CPUパッチを適用し公開範囲を制限。
顧客管理アプリ側の更新で対応。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM上でPeopleSoftを運用している場合はOracle CPUパッチを適用。
IaaS上の顧客管理PeopleSoftが対象。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Linux上のPeopleSoft(PeopleTools)はOS修正ではなくOracle CPUのアプリパッチで対応。
OSではなくアプリ層の脆弱性。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
Oracle の 2026年7月 CPU（および 6月の CVE-2026-35273 向け Security Alert）を直ちに適用する。適用まで Environment Management Hub / PeopleSoft のHTTPエンドポイントをインターネットから遮断し、アクセス元をVPN/許可IPに限定する。既に侵害された可能性を前提に、不審なプロセス生成・DB異常アクセス・データ持ち出しの痕跡を点検する。CVE-2026-35273 とチェーンで悪用されるため両方を塞ぐ。
Critical（CVSS 9.8）に分類されるOracle PeopleSoft Enterprise PeopleToolsの脆弱性です。Oracle PeopleSoft の PeopleTools に、認証前（未認証）のリモートコード実行脆弱性がある。PeopleSoftアプリノードの監視・管理を担う Environment Management Hub のHTTPエンドポイントが資格情報なしでネットワーク経由のリクエストを受け付けるため、到達可能な攻撃者がアプリケーションサーバ上で任意コードを実行できる（CVSS 9.8）。恐喝集団 ShinyHunters が権限昇格の CVE-2026-35273 と組み合わせ、100以上の組織・300超のPeopleSoftサーバでHR/給与/PIIを窃取する実害が報告された（特に高等教育機関を標的）。Oracle は 2026年7月の Critical Patch Update で修正。
Oracle の 2026年7月 CPU（および 6月の CVE-2026-35273 向け Security Alert）を直ちに適用する。適用まで Environment Management Hub / PeopleSoft のHTTPエンドポイントをインターネットから遮断し、アクセス元をVPN/許可IPに限定する。既に侵害された可能性を前提に、不審なプロセス生成・DB異常アクセス・データ持ち出しの痕跡を点検する。CVE-2026-35273 とチェーンで悪用されるため両方を塞ぐ。
Oracle PeopleSoft Enterprise PeopleTools を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-35278）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。