Oracle E-Business Suite の脆弱性（CVE-2025-61882）

何が起きた

Oracle E-Business Suite の Concurrent Processing（BI Publisher Integration という部分）に弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしに HTTP で接続できる攻撃者が悪用でき、成功すると Concurrent Processing を乗っ取られます。Oracle は、悪用されるとリモートでコードを実行される可能性があると説明しています。実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle E-Business Suite の 12.2.3 から 12.2.14 までを使っている組織が対象です。

何をすればいい

Oracle の公式の案内（セキュリティアラート）を確認し、修正パッチをすぐに適用してください。Oracle によると、このパッチを当てる前提として、2023年10月の重要パッチ更新（Critical Patch Update）が必要です。Oracle は、侵害の痕跡（IP アドレス、実行されたコマンド、ファイル）も公表しており、検知や調査に使うよう案内しています。

やることチェックリスト

• 2023年10月の重要パッチ更新を先に適用する
• セキュリティアラートの修正パッチを適用する
• Oracle が公表した侵害の痕跡と照合する

用語メモ

セキュリティアラート

定期の更新を待たずに、急いで対応が必要な弱点についてメーカーが出す特別な知らせです。

重要パッチ更新

Oracle が定期的にまとめて公開するセキュリティの修正です。英語では Critical Patch Update と呼ばれます。

侵害の痕跡

攻撃を受けたときに残りやすい手がかりのことです。通信先や実行されたコマンド、置かれたファイルなどがあります。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪いプログラムです。