【最重大】CVE-2026-60221 Oracle Coherenceのリモートコード実行RCE脆弱性を突くAI Security対策ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60221はOracle Fusion MiddlewareのOracle Coherence製品に存在する脆弱性で、攻撃者は認証不要でTCPネットワーク経由でアクセスし、サーバを乗っ取れます。LLMゲートウェイやAIインフラ運用者にとって最優先の危険です。

やさしく説明すると

この脆弱性は、例えるなら「建物の玄関の鍵が完全に外れている」状態です。誰でも簡単に中に入り、重要な機器やデータを操作できます。AI GatewayやAgentサーバを使う場合、その管理が丸裸になるイメージです。特にネットワーク経由で認証を求められないため、非常に危険です。

技術的な原因

この脆弱性はCWE（ソフトウェアの弱点分類）には未分類ですが、CVSS評価からAV:N/AC:L/PR:N/UI:N（攻撃元はネットワーク、攻撃の難易度低く、権限不要、ユーザ操作不要）で、サービスの認証検証が欠如していることに起因します。言い換えると、攻撃者はネット経由でOracle Coherenceの管理機能を不正利用できます。

影響を受けると何が困るか

• APIキーなどの重要認証情報の漏洩リスク
• LLMコンテキスト（顧客データや機密情報）の不正閲覧や窃取
• エージェントやAI Gatewayの乗っ取りを通じた間接的なAI操作制御奪取
• モデルの改ざんやRAG（Retrieval-Augmented Generation）データ破壊によるサービス妨害
• 請求コストの無制限増加やリソース枯渇によるサービス停止
• テナント間の情報漏洩、多重テナント環境でのデータ混在
• AIコーディングツール（Cursor, Cline, Copilot等）経由のローカル権限奪取やファイル漏洩
• IDE拡張プラグインの遠隔制御による開発環境破壊・情報漏えい
• .envファイルなどの環境変数や秘密情報の直接的漏洩

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1スコアは 9.8（Critical）。実務的には非常に高リスクで即対応が望ましい。
• EPSS（悪用予測スコア）は未提供。よって実際利用度は不明だが、スコアと攻撃の容易さが極めて高い。
• CISA KEVには未登録であり、現在の悪用情報は不明（ランサムウェア悪用も未確認）。
• 公開PoCやexploitはまだ存在しない。武器化は現時点でされていない。
• 攻撃条件は「ネットワーク経由」「認証不要」「ユーザ操作不要」であるため、デフォルト設定のOracle Coherenceが対象なら直ちに危険。

誰が動くべきか

• Oracle Coherenceを本番運用するAIインフラ／LLM Gateway運用チーム
• AgentフレームワークやAI Gateway構築者（Oracle Coherenceを内部で利用する場合）
• バイブコーダー開発者でOracle Coherenceを利用した連携環境を使っている場合
• AIセキュリティを担当するSecOps/SREチーム、特にAI Gateway周りの担当者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（Oracle Coherenceコマンドライン）

coherence-version.sh --version

出力例:

Oracle Coherence Version 14.1.1.0.0

判定: 出力のバージョンが 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0 のいずれかなら脆弱 それ以外は安全

設定確認

この脆弱性は設定依存ではありません。バージョンが該当範囲なら常に脆弱です。

Nucleiテンプレートでの検出

現時点で公開されたNucleiテンプレートはありません。バージョン確認での判断を推奨します。

STEP 4: 修正を適用する

パッチ適用

Oracle社の公式アドバイザリで修正版の詳細を確認し、最新のパッチに更新してください。下記は例示です。

Linux（Oracle Coherence 公式アップデート例）

# Oracleサポートポータルからパッチをダウンロード後
tar xvf oracle-coherence-patch.tar.gz
cd oracle-coherence-patch
./applyPatch.sh

判定: パッチ適用成功で脆弱性解消

注意: パッチ適用前に必ず環境のバックアップを取得し、ステージング環境で動作検証を行ってください。また、適用によるダウンタイム計画を準備してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式による暫定対応策は提示されていません。ネットワークレベルでのOracle Coherence TCPポートのアクセス制限やファイアウォール設定は検討してください。

STEP 5: 修正されたことを確認する

STEP 3のバージョン確認コマンドを再度実行してください。

期待される出力

Linux（Oracle Coherenceコマンドライン）

coherence-version.sh --version

出力例:

Oracle Coherence Version 14.1.1.0.1

判定: バージョンが 14.1.1.0.1 （パッチ適用済みの最新バージョン）以上ならOK

追加で確認すべきこと

公開Nucleiテンプレートはありませんが、社内監査ログを確認し、不審なTCPアクセスや異常な認証なし操作履歴がないか監視してください。

補足: 悪用観測状況

現時点でCISA KEVに登録されておらず、ランサムウェア攻撃や実際の悪用報告はありません。また、公開PoCやExploit Databaseにも該当の攻撃コードはありません。とはいえCVSSは最高評価の9.8であるため、予防的に速やかな対応が必須です。

補足: CVSSメトリクス詳細

• AV (Attack Vector) – 攻撃元: NETWORK（ネットワーク経由で攻撃可能）
• AC (Attack Complexity) – 攻撃の複雑さ: LOW（攻撃は容易）
• PR (Privileges Required) – 必要権限: NONE（権限不要）
• UI (User Interaction) – ユーザ操作: NONE（ユーザ操作不要）
• S (Scope) – スコープ: UNCHANGED（スコープに影響なし）
• C (Confidentiality) – 機密性影響: HIGH（情報漏洩の可能性高）
• I (Integrity) – 完全性影響: HIGH（情報改ざんされる可能性高）
• A (Availability) – 可用性影響: HIGH（サービス停止リスク高）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で該当バージョンか確認し、STEP 4でベンダーアドバイザリに記載のパッチを適用してください。最後にSTEP 5でバージョンを再確認し安全を確かめましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. リスクを避けるためにネットワークの通信制御を強化し、Oracle Coherenceのアクセスを制限してください。公式の暫定対応は現状ありません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式のIOCは未公開ですが、システムログやネットワーク監視で不正なTCPアクセスや認証なし管理コマンド実行の痕跡を調査してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは技術的リスクを示しますが、EPSSは実際に悪用される確率を示すため、両方を見ると優先度判断が正確になります。ただし本CVEはEPSS値が未提供です。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Fusion Middleware製品では他にも認証欠如や権限昇格の脆弱性が過去に報告されています。CWE分類はないものの、管理APIが認証不要になる脆弱性には注意が必要です。

参考文献

• NVD – CVE-2026-60221
• Oracle公式 セキュリティアラート（2026年7月）
• JVN iPedia – CVE-2026-60221
• CISA KEVカタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧