企業の基幹業務システムとして世界で広く使われる米オラクルの「E-Business Suite（EBS）」に、認証なしでシステムを乗っ取られる恐れのある重大な欠陥が見つかりました。オラクルは10月20日に修正を公開しましたが、攻撃者とみられる探索活動がすでに観測されており、未対応の企業は早急な更新が求められています。
認証不要で乗っ取りの恐れ
今回の欠陥は「CVE-2026-101767」として管理されています。セキュリティ企業ディフューズドの分析によると、EBSの一部機能に存在する「SQLインジェクション」と呼ばれる弱点を突くもので、これを連鎖させると遠隔でのコード実行、つまりシステムの乗っ取りにつながります。問題は、正規のIDやパスワードを持たない第三者が、インターネット経由でHTTP通信できるだけで悪用できる点にあり、攻撃の難易度は低いとされます。
修正公開直後から探索活動
オラクルは10月20日に公開した定例セキュリティ更新でこの欠陥を修正しました。しかし、ディフューズドは翌週の10月27日、おとりとして設置した観測用システムに対し、この欠陥を狙った探索とみられるアクセスを確認したと報告しました。修正が公開されると攻撃者が内容を解析し、未対応のシステムを探し始めるのは典型的な流れで、今回もその兆候が表れています。
数百のシステムがネット上に露出
セキュリティ監視団体シャドウサーバーによると、インターネットに接続されたEBSのシステムは670件以上が確認され、その多くが米国内にあるといいます。現時点で大規模な被害は報告されていませんが、EBSは会計や調達、人事といった企業の中枢を担うため、ひとたび侵入を許せば深刻な情報流出や業務停止につながりかねません。専門家は、更新プログラムの適用を最優先で進めるよう呼びかけています。
日本への影響
オラクルのEBSは、日本国内でも製造業や流通業をはじめ多くの企業が会計・調達・人事などの基幹業務に採用しており、今回の欠陥は対岸の火事ではありません。すでに修正プログラムは公開されているため、情報システム部門は自社のEBSが最新の状態に更新されているかを早急に点検する必要があります。とりわけ、インターネットから直接アクセスできる形で運用しているシステムは危険度が高く、優先して対応すべきです。日本では年度末や月次の決算処理で基幹システムの停止を避けたいとして更新を後回しにしがちですが、攻撃者はまさにそうした隙を狙います。近年は海外子会社や取引先のシステムを経由した侵入も相次いでおり、サプライチェーン全体での対策が欠かせません。情報処理推進機構（IPA）やJPCERTコーディネーションセンターも同種の欠陥について注意喚起を続けており、経営層が主導して迅速に対応する姿勢が求められます。
まとめ：修正はすでに公開されており、問われるのは適用の速さです。基幹システムを守る初動の遅れが、企業全体の信頼を揺るがしかねません。
出典：
BleepingComputer
Photo: Aleksandr Lyaptsev / Unsplash
