企業の会計や購買を支える米オラクルの基幹業務システム「E-Business Suite（EBS）」に、深刻度が最高クラス（CVSSで10点満点中9.8）の欠陥が見つかり、すでに悪用が始まっていることが明らかになりました。利用者認証を必要とせず、インターネット経由で攻撃者がシステムを乗っ取れる恐れがあり、世界中の企業に早急な対応が求められています。
どんな欠陥なのか
問題の脆弱性は「CVE-2026-46817」と識別され、EBSの決済機能「Oracle Payments」のファイル送信部分に存在します。攻撃者はIDやパスワードによる認証を突破する必要がなく、ネット経由でアクセスできれば比較的簡単にシステムを支配できるとされます。企業の中核データが集まる基幹システムが狙われるだけに、被害が広がれば影響は甚大です。
すでに攻撃が観測されている
セキュリティ企業Defused（ディフューズド）は、週末に自社の「おとり環境（ハニーポット）」上でこの欠陥を突く攻撃者の活動を確認したと月曜に報告しました。攻撃手法を再現する実証コードはまだ公開されていないものの、監視団体Shadowserver（シャドウサーバー）によると、ネット上に無防備なまま公開されているEBSは450台以上にのぼり、うち約200台が米国と欧州に集中しています。
修正パッチは公開済み
オラクルはこの欠陥を2026年5月の定例セキュリティ更新（Critical Patch Update）で修正しており、顧客に「遅滞なくパッチを適用するよう」呼びかけています。EBSをめぐっては、犯罪集団Cl0p（クロップ）が別の脆弱性を悪用し、米ハーバード大学やワシントン・ポスト紙などから情報を盗む攻撃も起きており、標的として狙われ続けています。
日本への影響
オラクルのEBSは、日本でも製造業や流通業をはじめ多くの大企業が会計・購買・人事の基盤として利用しており、今回の欠陥は決して遠い話ではありません。インターネットに接続した状態でパッチを当てていないシステムがあれば、取引データや個人情報が流出する危険にさらされます。情報システム部門には、自社がこの脆弱性の影響を受けるかを早急に確認し、5月の修正パッチが適用済みかを点検することが求められます。日本では年度末の会計処理や決算業務で基幹システムへの依存度が高く、システムを止めての更新が難しいという事情もありますが、攻撃が現実に観測されている以上、対応の先送りは大きなリスクを伴います。サプライチェーンでつながる中堅・中小企業にも影響が及ぶ可能性があり、取引先を含めた点検と、不要な外部公開を避ける基本的な防御の徹底が欠かせません。
まとめ：便利な基幹システムほど、守りを固めることが事業の生命線になります。パッチ適用という地道な一手を、後回しにしないようにしたいですね。
出典：
BleepingComputer – Hackers now exploit critical Oracle E-Business flaw in attacks
Photo: Joan Gamell / Unsplash
