【最重大】CVE-2026-60226 Oracle Coherenceの認証不要RCE脆弱性を狙うAI Securityリスク対策ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60226はOracle Fusion MiddlewareのOracle Coherence製品で発見された脆弱性です。攻撃者はネットワーク経由で認証なくOracle Coherenceを乗っ取れます。LLMゲートウェイやAIインフラ運用者にとって最優先対応が必要な重大な問題です。

やさしく説明すると

イメージとしては、重要な通信や処理の玄関であるOracle Coherenceの鍵が簡単に開けられてしまう状態です。誰でも玄関から入り放題なので、内部情報の全てを盗まれたり書き換えられたりします。AI開発や運用でバックエンドにこの製品を使っていると、悪意ある第三者にシステムを丸ごと乗っ取られかねません。

技術的な原因

この問題はアクセス制御の欠如で、認証や認可の仕組みがないまま外部からのTCP接続を受け入れます。CWE（共通脆弱性分類基準）では「認証欠如による権限昇格としての脆弱性」に該当します。攻撃は簡単で、ネットワークに接続できれば低い攻撃複雑度（AC:L）で実行できます。

影響を受けると何が困るか

• Oracle Coherence上の管理操作を認証無しで制御される
• AI GatewayやAgentフレームワークのバックエンド取り込み先を乗っ取られる
• LLMコンテキストや顧客データの窃取リスク
• AIモデルやRAG（検索強化生成）データの改ざん
• 請求が爆増するなど、インフラ全体の大規模被害
• AIコーディングツール(CursorやCline経由のコード生成環境)の信頼性損失
• 運用中のシステム全体への横展開による重大インシデント

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1スコアは9.8 (Critical)で、実務的には「ほぼ完璧に危険な状態」と評価されます
• EPSS（悪用予測スコア）は未提供ですがスコアと性質から高悪用リスクが推測されます
• ランサムウェア悪用の報告は現在確認されていません
• 公開されているPoCやExploitは現時点でありません
• 攻撃はネットワークから認証なしで可能なので、ネットワーク経由でアクセス可能なOracle Coherence環境はすぐに対処が必要です

誰が動くべきか

• Oracle Coherenceを使用するAI GatewayやLLM Proxyの運用チーム
• Agenticフレームワーク開発・運用担当者
• RAG（検索強化生成）パイプラインのインフラ管理者
• LLMサーバを管理するMLインフラチーム
• AI駆動開発ツール(CursorやCline、Copilotなど)の安全性チェック責任者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（Oracle Coherenceインストール環境例）

cat /path/to/coherence/version.properties

出力例:

coherence.product.version=14.1.1.0.0

判定: 出力のバージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら脆弱です

設定確認

この脆弱性は認証無しでのTCPアクセスを許している設計上の問題です。設定のみでの緩和策は報告されていません。つまり、対象バージョンなら全て脆弱です。

STEP 4: 修正を適用する

パッチ適用

ベンダーの公式アドバイザリに従い、Oracle Coherenceの対象バージョンから修正版へアップグレードしてください。具体的な手順はOracleの公式アップデートガイドを参照してください。

Linux環境例（アップグレード）

# Oracle Coherence のアップグレードはベンダー公式手順を必ず参照してください
# 例）ダウンロード後インストールスクリプトを実行
./coherence_upgrade.sh

注意: パッチ適用前に必ず完全なバックアップを取得し、テスト環境で動作検証を行ってください。ダウンタイムが発生する可能性があります。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応は提示されていません。環境をネットワーク的に隔離し、TCPアクセスを制限することが唯一の暫定策です。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Linux（Oracle Coherenceインストール環境例）

cat /path/to/coherence/version.properties

出力例:

coherence.product.version=15.1.1.1.0  # 修正済みバージョン（例）

判定: バージョンが 15.1.1.1.0 など修正版以上ならOKです

追加で確認すべきこと

公開Nucleiテンプレートは未提供ですが、ベンダー提供の検出ツールを使い再確認してください。ログから不審な未認証アクセスや攻撃痕跡がないかも必ず確認しましょう。

補足: 悪用観測状況

現時点でCISA KEVには未登録であり、ランサムウェアグループによる悪用も確認されていません。またGitHubやExploit Databaseに公開PoCやエクスプロイトも存在しません。ただし、CVSS 9.8の高危険度のため監視と迅速対応が推奨されます。

補足: CVSSメトリクス詳細

• AV: NETWORK (攻撃元はネットワーク) — 攻撃者はインターネットや内部ネットワークから攻撃可能
• AC: LOW (攻撃の複雑度が低い) — 攻撃は簡単で特殊な条件をほとんど必要としない
• PR: NONE (必要な権限なし) — 攻撃者は認証済みユーザである必要なし
• UI: NONE (ユーザ操作不要) — 被害者の操作介入なく攻撃可能
• S: UNCHANGED (スコープ変更なし) — 他のシステムに影響を及ぼさないが対象システムを完全に制御
• C: HIGH (機密性に重大な影響) — 機密情報が完全に漏洩する
• I: HIGH (完全性に重大な影響) — データやシステムが改ざんされる
• A: HIGH (可用性に重大な影響) — システムが停止・ダウンする

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分のOracle Coherence環境のバージョンを確認し、STEP 4の修正版適用をします。具体的なコマンドとバージョンは本記事に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワーク的に隔離し、Oracle CoherenceのTCPアクセスを制限してください。公式の暫定対応は現時点でありません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダー提供の検出ツール利用やシステムログで未認証の異常アクセスを調査してください。公開PoCはありませんが早期のインシデント調査が重要です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示し、EPSSは「実際に悪用される可能性」を示します。両方を見ることで優先対応の判断精度が上がります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様に認証無しのネットワークアクセスでシステム乗っ取りにつながる脆弱性は過去にも存在します。定期的にOracleおよび関連製品の公式情報を確認してください。

参考文献

• NVD – CVE-2026-60226
• Oracle公式セキュリティアラート（2026年7月）
• JVN iPedia – CVE-2026-60226
• CISA KEV 脆弱性カタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧