Oracle E-Business Suite にゼロデイ（CVE-2025-61882）— 恐喝集団 Cl0p がデータを盗み脅迫メール

何が起きたか

2025年9月末、多くの企業の幹部に「Oracle E-Business Suite（EBS）から盗んだデータを公開されたくなければ支払え」という脅迫メールが届きました。調査の結果、EBS に認証なしで外から好きなプログラムを動かされる脆弱性 CVE-2025-61882（CVSS 9.8）があり、恐喝集団 Cl0p が2025年8月ごろから悪用していたとされました。Oracle は10月4日に緊急の修正を公開し、CISA は10月6日に KEV に追加しました。

影響を受けたのは

• Oracle E-Business Suite 12.2.3〜12.2.14 を使い、画面をインターネットに出していた企業
• 問題の箇所は、帳票を作る機能（Concurrent Processing の BI Publisher 連携）

自社で確認したいこと

• Oracle の緊急修正を当てる（前提となる定例修正も含めて）
• 基幹システムの画面は、できるだけインターネットに直接出さない
• Oracle が公開した攻撃の痕跡（通信先など）と照らし合わせ、侵入されていないか確認する