PeopleSoftの侵入経路をZDIが解説―3つの弱点がコード実行につながる

TrendAIのZero Day Initiative（ZDI）は2026年10月27日、Oracle PeopleSoftの脆弱性CVE-2026-35273の技術解析を公開しました。6月に修正済みの問題ですが、ZDIが報告したのは複数コンポーネントにまたがる3つの弱点で、個別のCVE付与についてOracleと調整中としています。

入口は、サーバーから任意の宛先へ通信させるSSRFです。外部との連携機能を経由して内部管理機能へ接続すると、通信元がサーバー自身に見えます。管理機能がローカル接続を標準で信頼するため、外からの要求でもアクセス制限を越えられます。

そこから、書き込み先と内容を指定できる不備を使い、不正なファイルを設置できます。さらに、信頼できないXMLを読み込む問題と組み合わせ、サービス再起動時などにコードを実行させる経路も説明されています。内部向けの画面というだけでは防げない連鎖です。

OracleはPeopleTools 8.61・8.62を対象に、認証なしの遠隔コード実行につながると案内しています。Mandiantは9月25日、未修正環境でWAFのパス遮断を回避した攻撃を報告。今回の解析公開を、新しい修正版の公開や修正済み環境への突破と混同しないことが重要です。

運用担当者はOracleの修正適用を確認してください。MandiantはWAFだけで代替せず、不正なファイルやアクセス履歴を調査し、侵入があれば証拠保全と読み取られ得た認証情報の変更も行うよう案内しています。更新だけで、すでに設置された侵入手段まで消えるとは扱えません。