米オラクルの基幹業務ソフト「E-Business Suite（EBS）」に、深刻度が最高水準の脆弱性が見つかり、すでに実際の攻撃に悪用されていることが確認されました。認証なしでシステムを乗っ取れる恐れがあり、米サイバーセキュリティ・インフラ庁（CISA）は連邦機関に7月18日までの修正を命じています。
危険度9.8の重大な欠陥
問題の欠陥は「CVE-2026-46817」として管理され、EBSの決済製品「Oracle Payments」のファイル送信機能に存在します。危険度を示すCVSSスコアは10点満点中9.8と極めて高く、認証情報を持たない攻撃者がHTTP経由でシステムを完全に乗っ取れる恐れがあります。影響を受けるのはバージョン12.2.3から12.2.15までです。
週末から実際の攻撃を観測
セキュリティ企業によると、週末に最初の攻撃が観測され、現在も活発に悪用が続いています。CISAは7月15日にこの欠陥を「悪用が確認された脆弱性カタログ」に追加し、連邦民間機関に7月18日までの対処を義務付けました。インターネット上に露出したEBSの稼働システムは1000台を超え、その半数以上が米国内にあると監視団体シャドウサーバーは報告しています。
実際の被害も発生
実際の被害も出始めています。複数の脅威インテリジェンス企業が、この脆弱性を突いた侵入を確認しており、日産自動車の給与データが流出した事案との関連も指摘されています。基幹システムは企業の会計や決済を担う中枢であるだけに、被害が広がれば影響は甚大です。
日本への影響
オラクルのEBSは、大企業の会計・購買・人事などを一元管理する基幹システムとして、日本国内でも金融機関や製造業を中心に広く導入されています。今回の脆弱性は認証なしで悪用できるため、パッチを当てていない企業は攻撃者に狙われる危険が高く、情報システム部門は速やかに修正プログラムの適用状況を点検する必要があります。今回の攻撃で名前が挙がった日産自動車の事例は、日本企業にとって決して対岸の火事ではありません。
近年、日本ではサプライチェーンや委託先を経由した情報流出が相次いでおり、基幹システムの防御は経営上の最重要課題となっています。とりわけ決済モジュールが標的とされている点は、資金の不正送金や取引データの改ざんにつながる恐れがあり深刻です。企業は自社だけでなく、システムを共有する取引先の対策状況まで確認する姿勢が求められます。個人の利用者に直接の操作はありませんが、取引先企業からの不審な連絡や請求には一層の警戒が必要です。
まとめ：基幹システムの一つの穴が企業全体を危険にさらします。日本の読者も、勤務先や取引先のシステム対策に関心を持ち、身近な情報管理を見直したいところです。
出典:
The Hacker News – Oracle E-Business Suite Flaw CVE-2026-46817
BleepingComputer – Hackers now exploit critical Oracle E-Business flaw
Security Affairs – Attackers actively exploit Oracle EBS flaw
Photo: David Pupăză / Unsplash
