【最重大】CVE-2026-60215 Oracle Coherence RCE脆弱性によりAIインフラ攻撃の危機 LLM運用者向け緊急対応ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60215はOracle Fusion MiddlewareのOracle Coherence製品で見つかった脆弱性です。ネットワーク経由で認証なしに攻撃者がOracle Coherenceを乗っ取れます。LLMゲートウェイやAgentフレームワークなどでOracle Coherenceを使う運用者は最優先対応が必要です。

やさしく説明すると

Imagine a building’s security door that should only open to authorized personnel. This vulnerability is like the door being left unlocked, allowing anyone from the street to enter and control the building. Oracle Coherence, a core service managing data in Oracle’s middleware, can be accessed by attackers without any password or user action. This lets attackers take over the entire system, causing serious problems.

技術的な原因

この問題は、CWE（共通脆弱性分類）に特定されていませんが、脆弱性の本質は「認証不要でネットワーク経由によりサービスにアクセス・制御される」点にあります。CVSSのAttack Vectorがネットワーク（AV:N）、Attack Complexityが低（AC:L）、Privileges Requiredなし（PR:N）、User Interactionなし（UI:N）であることからも、遠隔から簡単に攻撃可能であることがわかります。言い換えると、サービスの認証設計やアクセス制御に深刻な欠陥があると推察されます。

影響を受けると何が困るか

• AI/LLM製品のAPIキー（OpenAI/Anthropicなど）や認証情報が漏洩する
• LLMゲートウェイやAgent経路のコンテキスト情報、顧客データが窃取される
• プロンプトインジェクションを介したAIエージェント乗っ取りが可能となる
• RAG（Retrieval-Augmented Generation）データやモデルパイプラインの改ざん
• AIリソースの不正利用や請求コストの急増
• 複数テナント環境間での機密情報の横漏れ
• インフラ全体への重大な横展開リスク
• AIコーディングツール（Cursor/Cline/Coilotなど）経由でのローカルファイル読み取りや任意コード実行
• IDE拡張などのリモート操作による開発環境の乗っ取り
• .envファイルや重要認証情報の漏洩

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1の基本スコアは9.8でCritical。実務的にはほぼフルコンプロマイズリスクで最優先計画対応が必要。
• EPSS（悪用予測）スコアは現時点で提供なし。
• ランサムウェアによる悪用観測は不明（Unknown）。公開PoCも0件。
• 攻撃にはネットワークアクセス（TCP）が必要だが認証不要で、ユーザ操作もいらないため非常に狙われやすい。
• 認証なしでOracle Coherenceを乗っ取れるため、遠隔から完全制御される可能性がある。

誰が動くべきか

• Oracle Coherenceを本番運用しているインフラチームやSRE
• Fusion Middlewareを利用しているMLインフラ担当（特にLLM ProxyやAgenticシステムの基盤）
• LLM Gateway運用者
• AIセキュリティチームおよびSecOps
• バイブコーダーなどAI駆動開発環境をOracleミドルウェア上に構築している開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / macOS (Oracle製品の場合、Javaプロセス含む)

ps -ef | grep coherence

出力例:

/opt/oracle/coherence-14.1.2.0.0/bin/coherence ...

判定: バージョン部分に 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 があれば脆弱。

Oracle製品のバージョン確認コマンド (コマンド例)

java -jar coherence.jar -version

出力例:

Oracle Coherence 14.1.2.0.0

判定: 脆弱なバージョンであれば 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0が出力に含まれる場合は脆弱。

設定確認

この脆弱性の問題は設定依存ではなく、対象バージョンのOracle Coherence製品自体に存在します。よって、設定変更だけでは防げません。バージョン確認が重要です。

Nucleiテンプレートでの検出

現時点で公開Nucleiテンプレートはありません。検出はバージョン確認が主な方法です。将来的に登場したら追記します。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherenceのアップグレード（例）

# Oracle公式のパッチをダウンロードし、適用手順に従う
# 例: Oracle Fusion Middleware 14.1.2.0.0 のパッチ適用
# vendor advisory参照で最新版を取得してください

注意: パッチ適用前に必ず本番環境のバックアップを取得してください。適用はステージング環境で動作検証し、ダウンタイム計画を立てた上で実施してください。

パッチ即時適用ができない場合の暫定対応

公式から暫定対応は提示されていません。リスクを下げるには以下を検討してください：

• Oracle Coherenceの管理ポートを内部ネットワークに限定し、外部からのTCPアクセスを遮断
• WAFやIPSで該当通信をブロック
• サービスの一時停止や隔離運用

しかし根本対策はパッチ適用です。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドをもう一度実行してください。

期待される出力

Linux / macOS (Oracle製品)

java -jar coherence.jar -version

出力例:

Oracle Coherence 15.1.2.0.0

判定: バージョンが 15.1.2.0.0 以上（ベンダーの修正版基準以上）なら安全です。

追加で確認すべきこと

• バージョンアップ後も不審なログや異常アクセスがないか監視を強化する
• 将来的に公開されるNucleiテンプレートなどの自動検出ツールがあれば再実行

補足: 悪用観測状況

現時点でCISA KEVには未登録で、ランサムウェア等による悪用は確認されていません。公開PoCやExploitコードも見つかっていないため、未知の攻撃はありますが、現状は理論的な危険が中心です。とはいえCVSS9.8のCriticalであるため早急の対策が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector): NETWORK（ネットワーク経由で攻撃可能）
• AC (Attack Complexity): LOW（攻撃の難易度は低い）
• PR (Privileges Required): NONE（権限不要で攻撃可能）
• UI (User Interaction): NONE（ユーザ操作不要で攻撃できる）
• S (Scope): UNCHANGED（影響範囲は元のスコープ内）
• C (Confidentiality Impact): HIGH（機密情報に重大な影響）
• I (Integrity Impact): HIGH（データ改ざんや改変のリスク高）
• A (Availability Impact): HIGH（サービス停止など可用性に重大影響）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3の対象バージョン確認を必ず実施し、確認できたらSTEP 4で示した通り、ベンダーのパッチ適用を計画・実行してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 外部からのアクセスをブロックしたり、WAFで通信制御を行うなどの暫定対応を検討してください。ただし根本対策はパッチ適用です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーによるIOC情報は現状ありませんが、Oracle Coherenceのログやネットワークトラフィックを監視し、不審なアクセスがないか確認してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的深刻度ですが、EPSSは実際に悪用される確率を示します。両方の情報を合わせて優先度判断に役立てましょう（本脆弱性はEPSS未提供です）。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様に認証不要で遠隔攻撃可能なOracle Fusion Middleware関連の脆弱性は過去にも報告されています。最新のベンダー情報を常に確認してください。

参考文献

• Oracle公式セキュリティアラート (2026年7月版)
• NVD (米国NIST) CVE-2026-60215
• CISA KEV カタログ
• JVN iPedia (日本)
• GitHub Advisory Database

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧