サイバーセキュリティ専門家によると、ハッカー集団が、Oracle E-Business Suite (Oracle EBS) で最近発見された重大な脆弱性に対するセキュリティアップデートをまだ適用していないシステムを求めて、インターネット上で大規模なスキャン活動を開始したことが確認されました。このスイートは、世界中の多くの大企業や政府機関の技術インフラストラクチャにおける主要な基盤の1つです。
発見された脆弱性の詳細
CVE-2026-101767のコードを持つこの脆弱性は、EBSのアプリケーションオブジェクトライブラリ（Application Object Library）内の基本コンポーネントに存在しています。この脆弱性により、HTTP経由でネットワークアクセスを持つ権限のない攻撃者は、ユーザーの操作や事前の資格情報を必要としない低複雑性の攻撃を通じて、影響を受けるシステムを完全に制御することが可能になります。
Oracle社は、同月20日にリリースされた2026年10月のクリティカルパッチアップデート（Critical Patch Update）の一環として、この問題に対処するセキュリティアップデートをリリースしていました。同社は顧客に対し、技術的な解決策が利用可能であるにもかかわらず組織が脆弱性の修正を遅らせたことが原因で、攻撃者がシステム侵害に成功することが多いため、直ちにパッチを適用するよう強く促していました。
攻撃者の動向と露出範囲
アップデートのリリース時点では、Oracle社はこの脆弱性を公式に「悪用されている」とは分類していませんでしたが、脅威インテリジェンスを専門とするDefused社は、この脆弱性に対する探索的な悪用試行が観測されたことを確認しました。同社のハニーポット（Honeypots）システムが、EBSのシンクライアントフレームワーク（Thin Client Framework）におけるSQLインジェクションの試行を記録したと説明しており、これらはリモートコード実行（RCE）を実行するために結び付けられる可能性のある試行です。
Shadowserver財団の監視データによると、現在インターネット上に直接露出しているOracle E-Business Suiteのインスタンスは670件を超えており、その大部分は米国に集中しています。しかし、これらのシステムのうちすでにセキュリティが確保されているものや、依然として危険にさらされているものの数は示されておらず、アップデート作業が完了する前に行われる悪用への懸念がさらに高まっています。
なぜこのニュースが技術組織にとって重要なのか
Oracle製ソフトウェアの標的化は、フォーチュン100（Fortune 100）企業、医療機関、政府機関を含む機密ネットワークへのアクセスを可能にすることから、ランサムウェアグループや恐喝グループにとって最優先事項となっています。真の危険性は、この脆弱性が資格情報を必要とせずにリモートコード実行の扉を開くことにあり、インターネットに接続されており更新されていないシステムはすべて簡単なターゲットになることを意味します。
米サイバーセキュリティ・社会インフラストラクチャセキュリティ庁（CISA）の統計もこの傾向を裏付けており、同庁は2021年後半以降、積極的に悪用されている脆弱性のリストにOracle製品の46件のセキュリティ脆弱性を追加しており、そのうち13件がランサムウェア攻撃で使用されました。したがって、IT管理者やサイバーセキュリティチームは、Oracle E-Business Suiteのバージョンを直ちに確認し、遅滞なく2026年10月のアップデートが適用されていることを確認する必要があります。