Oracle、機密データへのアクセスを可能にするEBSの脆弱性に対するパッチを公開

Oracleは週末、機密データへのアクセスを得るために悪用される可能性のある、もう一つの重大なE-Business Suite（EBS）の脆弱性に対するパッチの提供を発表しました。

新たに修正されたこの脆弱性はCVE-2025-61884として追跡されており、「高」深刻度の評価が付与されています。Oracleのアドバイザリによると、この脆弱性はOracle ConfiguratorのRuntime UIコンポーネントに影響し、認証やユーザーの操作を必要とせずにリモートから悪用可能です。

CVE-2025-61884の公開とパッチ提供は、数十の組織の幹部が自社のEBSインスタンスから機密情報が盗まれたと主張する脅迫メールを受け取ってから、約2週間後のことです。

Oracleは当初、攻撃は2025年7月に修正された脆弱性を悪用したと述べていましたが、その後、CVE-2025-61882として追跡されるゼロデイ脆弱性も悪用された可能性が高いことを認めました。 

週末、Oracleは顧客にCVE-2025-61884について通知しましたが、実際に悪用されたかどうかは明らかにしていません。CVE-2025-61884はCVE-2025-61882の調査中に発見された可能性があり、同様の攻撃で悪用される可能性はありますが、現時点では実際に悪用された事例は確認されていません。

「[CVE-2025-61884]は一部のOracle E-Business Suiteの導入環境に影響します」とOracleのCSOであるRob Duhart氏は述べています。「この脆弱性が悪用された場合、機密リソースへのアクセスが可能になる可能性があります。」

一方で、最近の攻撃で実際にどのCVEやCVEの組み合わせが悪用されたのかは、依然として明確ではありません。 

Oracle EBSの顧客を標的とした攻撃はCl0pグループによるものとされました（その評判によるものと思われます）が、Google Threat Intelligence Group（GTIG）およびMandiantは、Cl0pランサムウェアを一部の攻撃で使用してきたことで知られるFIN11サイバー犯罪グループとの複数の関連性を発見しています。しかし、GTIGとMandiantは、現時点で特定の脅威グループにこの攻撃を自信を持って帰属させてはいません。

脆弱性の悪用に加え、攻撃者は高度なマルウェアも使用して目的を達成していました。 

ハッカーは一部の被害者から大量のデータを盗み出したと考えられており、これは驚くべきことではありません。FIN11およびCl0pに関連する過去の大規模キャンペーンでは、Cleo、MOVEit、Fortra、Accellionのファイル転送製品の顧客から機密情報が盗まれる結果となっています。