• ひとことでOracle E-Business Suite で、ログインなしに外から乗っ取られる弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやること2023年10月の重要パッチ更新を先に適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-61882
製品Oracle E-Business Suite
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-10-06
米国政府機関の対応期限2025-10-27
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）不明

何が起きた

Oracle E-Business Suite の Concurrent Processing（BI Publisher Integration という部分）に弱点が見つかりました。Oracle の説明（CVE の記録）では、ネットワーク経由で、ログインなしに HTTP で接続できる攻撃者が悪用でき、成功すると Concurrent Processing を乗っ取られます。Oracle は、悪用されるとリモートでコードを実行される可能性があると説明しています。実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワーク経由で HTTP 接続する → 2. ログインなしで弱点を突く → 3. Concurrent Processing が乗っ取られる1攻撃者がネットワーク経由で HTTP 接続する2ログインなしで弱点を突く3Concurrent Processing が乗っ取られる攻撃の流れ: 1. 攻撃者がネットワーク経由で HTTP 接続する → 2. ログインなしで弱点を突く → 3. Concurrent Processing が乗っ取られる1攻撃者がネットワーク経由で HTTP 接続する2ログインなしで弱点を突く3Concurrent Processing が乗っ取られる攻撃の流れ: 1. 攻撃者がネットワーク経由で HTTP 接続する → 2. ログインなしで弱点を突く → 3. Concurrent Processing が乗っ取られる1攻撃者がネットワーク経由で HTTP 接続する2ログインなしで弱点を突く3Concurrent Processing が乗っ取られる

誰が影響を受ける

Oracle E-Business Suite の 12.2.3 から 12.2.14 までを使っている組織が対象です。

何をすればいい

Oracle の公式の案内（セキュリティアラート）を確認し、修正パッチをすぐに適用してください。Oracle によると、このパッチを当てる前提として、2023年10月の重要パッチ更新（Critical Patch Update）が必要です。Oracle は、侵害の痕跡（IP アドレス、実行されたコマンド、ファイル）も公表しており、検知や調査に使うよう案内しています。

やることチェックリスト

  • 2023年10月の重要パッチ更新を先に適用する
  • セキュリティアラートの修正パッチを適用する
  • Oracle が公表した侵害の痕跡と照合する

用語メモ

セキュリティアラート
定期の更新を待たずに、急いで対応が必要な弱点についてメーカーが出す特別な知らせです。
重要パッチ更新
Oracle が定期的にまとめて公開するセキュリティの修正です。英語では Critical Patch Update と呼ばれます。
侵害の痕跡
攻撃を受けたときに残りやすい手がかりのことです。通信先や実行されたコマンド、置かれたファイルなどがあります。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪いプログラムです。

次に読む

同じ製品・メーカーの脆弱性Oracle E-Business Suite（CVE-2026-46817）9.8 緊急CVSS v3.1Oracle E-Business SuiteのPaymentsで、ログインせずに乗っ取られる弱点です。同じ製品・メーカーの脆弱性Oracle E-Business Suite（CVE-2025-61884）7.5 重要CVSS v3.1Oracle E-Business Suite の Oracle Configurator で、ログインなしに大事なデータを見られるおそれがある弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle E-Business Suite Unspecified Vulnerability

概要

Oracle E-Business Suite contains an unspecified vulnerability in the BI Publisher Integration component. The vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Concurrent Processing. Successful attacks can result in takeover of Oracle Concurrent Processing.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る