URL表記を変えてWAFをすり抜け　PeopleSoftの未修正サーバーが再び標的に

ShinyHuntersは2026年9月、Oracle PeopleSoftの脆弱性「CVE-2026-35273」を再び大規模に悪用しました。MandiantとGoogle Threat Intelligence Group（GTIG）は、同グループを「UNC6240」として追跡しています。今回の手口は、脆弱なURLを遮断するためのWebアプリケーションファイアウォール（WAF）のルールを、URLの表記を変えてすり抜けるものです。WAFで特定のURLをブロックしていても、脆弱性そのものが修正されるわけではありません。 1117

URLの一部をエンコードして遮断を回避

一部の組織は、PeopleSoftのEnvironment Management Hub（環境管理ハブ）にある脆弱なエンドポイント「/PSEMHUB/」へのアクセスを、WAFのルールで遮断していました。再開した攻撃では、パスの先頭の「P」をパーセントエンコードし、「/%50SEMHUB/」という形でリクエストを送信。文字列が「/PSEMHUB/」と完全一致するかだけを確認するルールでは、この別表記を見落とす可能性があります。一方、アプリケーション側では脆弱なエンドポイントへのリクエストとして処理され得ます。 36

つまり、変わったのはURLの書き方であり、PeopleSoftの脆弱性がなくなったわけではありません。Googleの脅威情報レポートは、今回の活動をUNC6240（ShinyHunters）による同じCVEの悪用としています。 17

教育分野から複数の業界へ

最初に確認された攻撃は2026年5月27日から6月9日にかけて行われ、主に教育機関が狙われました。この期間に、100を超える組織で300超のアプリケーションインスタンスが侵害されたと報告されています。 1122

その後の攻撃では標的が教育分野にとどまらず、高等教育、テクノロジー、医療、農業、運輸、政府機関などにも広がったとされています。 217

FBI求人サイトをめぐる主張は、確認情報と切り分けて見る

ShinyHuntersは、未公表の新たなPeopleSoftゼロデイ脆弱性を使ってFBIの求人サイトに侵入し、FBIが管理するAWS GovCloudにもアクセスして、職員や応募者に関するデータを盗んだと主張しています。 10 別の報道では、FBI職員とされる約5,000人分の記録サンプルが取り上げられました。 43

ただし、これらはグループの主張や報道に基づく情報であり、AWS GovCloudへのアクセス、窃取されたデータの全容、あるいはFBIの事案で別のゼロデイが使われたかどうかは、ここで挙げた情報から独立して確認できません。FBIが求人サイトの事案を調査しているとの報道はありますが、それだけでグループの主張全体が裏付けられるわけではありません。 2

WAFルールだけでなく、Oracleの修正プログラムを適用

WAFは防御の一層として役立ちますが、特定のURL表記だけを対象にしたルールでは、エンコードされた別表記を見逃す場合があります。リクエストが脆弱なエンドポイントに届く可能性がある以上、URLを遮断する設定は脆弱性そのものへの対処にはなりません。 36

MandiantとGoogleは、CVE-2026-35273を悪用する活動の再開を報告し、WAFルールだけに頼らず、Oracleが提供するセキュリティ修正を適用するよう呼びかけています。 176