Oracleは2025年10月12日、E-Business Suiteに新たな脆弱性CVE-2025-61884が発見されたと発表した。
重大度はCVSS 7.5で、バージョン12.2.3から12.2.14が影響を受ける。未認証の攻撃者がHTTPやHTTPS経由でOracle Configuratorにアクセスし、機密データに不正アクセスする恐れがある。
Oracleはリモートから認証不要で悪用可能な点を強調し、ユーザーに早急な更新を推奨しているが、現時点で実際に悪用された事例は確認されていない。
GoogleのThreat Intelligence GroupとMandiantは直前にCVE-2025-61882が悪用されたとし、GOLDVEIN.JAVA、SAGEGIFT、SAGELEAF、SAGEWAVEなどのマルウェアが使用されたと報告している。
攻撃者はCl0pランサムウェアグループと関係があるとされる。
From: 
New Oracle E-Business Suite Bug Could Let Hackers Access Data Without Login
【編集部解説】
Oracle E-Business Suiteの新たな脆弱性「CVE-2025-61884」は、認証不要でリモートから悪用できる点が大きな特徴です。EBSの「Configurator」コンポーネントを標的にしたもので、HTTPやHTTPS経由で外部攻撃者が機密データを窃取できるリスクがあります。実運用においては、ERPや業務基幹システムとして活用されるため、財務・HR・顧客管理など多岐にわたる情報が格納されており、漏洩時の経営インパクトは非常に大きいです。
今回の脆弱性はバージョン12.2.3～12.2.14が公式対象ですが、1世代前の12.1.3も脆弱性の影響があることが一部ユーザーから指摘されています。Oracleはサポート対象のバージョンを推奨し、早期のパッチ適用を促していますが、サポート外でも影響が及ぶケースには警戒が必要です。
背景としては、同時期に「CVE-2025-61882」がCl0pと関係するグループによってゼロデイ攻撃に使われ、数十の組織が被害を受けた事例もありました。これらの攻撃では、GOLDVEIN.JAVAなど複数のマルウェアファミリーが使用されたと報じられています。最近はエクスプロイトコードの公開も確認されており、さらに悪用が広がる懸念があります。
規模の大きいシステム更新への影響、サードパーティとの情報連携のリスク、そして「情報漏洩インシデント」発生時の法的・社会的責任など、単なる技術トラブルでは済まない多面的なリスクが生じます。ERPのような経営インフラに関わる脆弱性は、IT管理者・経営層の両方にとって重要な意思決定ポイントとなるでしょう。
【用語解説】
CVE（Common Vulnerabilities and Exposures）
情報セキュリティ分野で使われる、公開脆弱性を識別するための共通番号体系。
CVSS（Common Vulnerability Scoring System）
脆弱性の深刻度を共通の基準でスコア化したもの。
ゼロデイ脆弱性
発見・公表された直後で、修正プログラム（パッチ）が存在しない脆弱性。
ペイロードチェーン
サイバー攻撃で、複数の不正プログラムやスクリプトが連鎖的に投入・実行される仕組み。
【参考リンク】
Oracle E-Business Suite公式サイト（外部）
財務や調達など多岐にわたる企業機能を統合管理できる業務ソフトウェア。
Oracle公式ウェブサイト（外部）
クラウドやデータベース等、ITソリューションを全世界で展開している。
National Vulnerability Database（NVD）（外部）
米NISTが運営する公式脆弱性データベースサイト。
Mandiant（Google Cloud）公式サイト（外部）
インシデント対応や脅威インテリジェンスに強みを持つセキュリティ専門企業。
【参考記事】
Oracle E-Business Suite Zero-Day Exploited in …（外部）
Google CloudによるCVE-2025-61882等のゼロデイ攻撃や攻撃グループの分析詳細。
Well, Well, Well. It’s Another Day. (Oracle E-Business Suite …（外部）
ゼロデイ脆弱性連鎖攻撃の技術背景や最新攻撃手法を詳細に分析している。
【編集部後記】
今回の事例を調べる中で、セキュリティに関心を持ち「自分たちの環境はどうか？」と不安になるのは自然なことです。しかし、詳細をSNSで広めることで、加害者に有利な情報伝達や、被害組織のインシデント対応力低下など“二次被害”につながる場合もあることが近年の事例から分かっています。
もし何か気になることや疑問があれば、信頼できる立場の相談窓口を活用してください。あくまで安全な情報の取り扱いと、冷静なアクション選択を心がけることが、わたしたち一人一人の「未来へのセキュリティリテラシー」の土台になると感じています。
