Trusted Design

解説:

1. 脆弱性の概要

CVE‑2026‑35273 は Oracle PeopleSoft Enterprise PeopleTools（Updates Environment Management コンポーネント） に存在する認証不要のリモートコード実行（RCE） 脆弱性。
攻撃者は HTTP 経由で未認証のままアクセス し、PeopleTools の更新管理機能を悪用して 任意コード実行 → PeopleSoft の完全な乗っ取り が可能となる。

• Oracle は本脆弱性を Security Alert として緊急公開しており、即時対処を強く推奨している。
• OpenCVE も同様に、不適切なアクセス制御（CWE‑306） により特権機能が認証なしで実行されると分析している。

1.1 影響

• 認証不要で任意コード実行（RCE）
• PeopleSoft Enterprise PeopleTools の完全な乗っ取り
• 機密性・完全性・可用性すべてが High 影響
• HTTP 経由で容易に悪用可能

1.2 深刻度

• CVSS v3.1：9.8（Critical）
  (AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H)

• CISA Known Exploited Vulnerabilities（KEV）登録済み
  → 悪用が確認されている

2. 対象となる環境

2.1 影響を受ける製品・バージョン

• Oracle PeopleSoft Enterprise PeopleTools

  • 8.61
  • 8.62

※ Oracle はサポート外バージョンも影響する可能性が高いと注意喚起。

2.2 影響を受ける設定

• PeopleTools の Updates Environment Management が HTTP 経由で到達可能
• 認証不要でアクセス可能な構成

（※脆弱性は設定依存ではなく、該当バージョンであれば影響）

3. 影響を受けた時の兆候（IoC）

公式に明確な IoC は公開されていない。
ただし、OpenCVE の分析から事実ベースで起こり得る挙動：

• Updates Environment Management への不審な HTTP リクエスト
• PeopleTools 内での不正なコード実行
• 管理画面の不正操作や設定変更

4. 推奨対策

4.1 本対策（恒久対策）

Oracle の Security Alert による公式対策：

• Oracle が提供するパッチを即時適用
• サポート対象バージョンへアップグレード
• OpenCVE も同様に、Oracle のパッチ適用を最優先とするよう推奨。

4.2 暫定回避策（緩和策）

OpenCVE による推奨緩和策：

• Updates Environment Management への HTTP アクセスを制限（FW / ACL）
• PeopleSoft ログの監視強化

Oracle 公式はワークアラウンドを明示していないが、Security Alert では「即時パッチ適用」を強く推奨している。

5. その他補足すべき観点

5.1 悪用状況

• CISA KEV に登録 → 実際に悪用されている

5.2 脆弱性の根本原因

• 不適切なアクセス制御（CWE‑306：Authentication Bypass） Updates Environment Management が認証なしで特権操作を許可