【最重大】CVE-2026-60227 Oracle Coherenceのリモートコード実行脆弱性AI Security対応ガイド for LLMインフラ担当者

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60227はOracle Fusion MiddlewareのOracle Coherence製品の脆弱性です。攻撃者はネットワーク経由で認証なしにOracle Coherenceを乗っ取れます。AIやLLM Gateway運用者にとっては最優先で対策が必要です。

やさしく説明すると

これは、建物の自動ドアのセキュリティシステムに鍵がかかっていない状態です。誰でも自由にドアを開けて中に入れてしまいます。Oracle Coherenceというソフトウェアが対象で、悪意ある人が正しい認証なしに侵入し、内部を操作可能になります。AIシステムの重要な部分を制御される恐れがあるため非常に危険です。

技術的な原因

この脆弱性は、CWE分類は未指定ですが、ネットワーク経由での認証不備に起因する「認証回避」や「アクセス制御不備」の問題と推定されます。攻撃元がネットワーク（AV:Network）で、権限なし（PR:None）かつユーザ操作不要（UI:None）という低い防御門を持っています。結果として、Oracle Coherenceの機密性、完全性、可用性がすべて完全に破壊されます（C:H, I:H, A:H）。

影響を受けると何が困るか

• AI GatewayやLLM Proxyとして機能するOracle Coherenceが乗っ取られ、サービス全体が停止または改ざんされる
• APIキーや認証情報など機密データの漏洩
• LLMモデルやRAG（検索強化生成）データの不正な書き換えや破壊
• テナント間のデータ分離が破壊され、顧客データが漏洩するリスク
• 運用中のAgenticフレームワークやAI駆動コーディングツール（Cursor, Cline, Copilot等）からの侵害拡大の可能性
• 請求コスト爆増やインフラ全体への横展開による大規模被害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1 スコアは 9.8 （Critical、ほぼ満点）です。実務的には「攻撃可能性が極めて高く、影響範囲が広範なため最優先対応」が必要です。
• EPSSスコアは現時点で提供されていません。
• ランサムウェア悪用は現時点で不明（報告なし）です。
• 公開PoCやExploitタグはありません。すぐに武器化される可能性はありますが、現状は未観測です。
• 悪用条件は「ネットワーク経由、認証不要、ユーザ操作不要」と非常に低く、すべてのネットワーク接続可能なOracle Coherenceが対象です。

誰が動くべきか

• Oracle CoherenceをAI GatewayやLLM Proxy、Agenticフレームワークの基盤として稼働させている運用チーム・SRE・SecOps。
• この環境を使ったRAGパイプライン保守者やMLインフラ信頼性管理者。
• AI駆動開発やバイブコーダー等の開発者で、Oracle Coherenceがバックエンドに組み込まれているシステムの影響評価を行う人。

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Oracle Coherence（バージョン確認）

# Oracle製品のバージョン確認コマンド例
# インストールディレクトリのバージョンファイルを確認
cat $COHERENCE_HOME/version.txt
# またはOracle Fusion Middlewareのコマンド利用
$ORACLE_HOME/oracle_common/bin/version.sh

出力例:

Coherence 12.2.1.4.0
Oracle Fusion Middleware 14.1.1.0.0

判定: 出力のバージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、または15.1.1.0.0 の場合、脆弱。修正版を待つか次のSTEPで対応。

設定確認

今回の脆弱性は認証なしでネットワーク到達できる状態が問題です。特定の設定依存はありません。よって、バージョンが対象範囲内にあれば基本的に脆弱です。

Nucleiテンプレートでの検出

本脆弱性に関する公開Nucleiテンプレートは現時点で提供されていません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Oracle社の公式セキュリティアップデートを適用してください。最新のパッチ情報は必ずOracle公式セキュリティアラートを参照してください。

Oracle Coherence（パッチ適用例）

# Oracle Fusion Middleware更新コマンド例
# Oracle OPatchユーティリティを用いてパッチ適用
$ORACLE_HOME/OPatch/opatch apply /path/to/patch_directory

判定: パッチ適用後にバージョン確認で修正版が反映されれば成功

注意: パッチ適用前に必ず製品のバックアップを取得してください。テスト環境で検証し、本番ロールアウト計画を立てたうえで作業してください。

パッチ即時適用ができない場合の暫定対応

ベンダーから公式の暫定対応は提示されていません。ネットワークレベルでOracle CoherenceのTCPポートへのアクセス制御を強化し、内部ネットワーク以外からのアクセスを遮断してください。

STEP 5: 修正されたことを確認する

STEP 3のバージョン確認コマンドを再度実行してください。

期待される出力

Oracle Coherence（バージョン確認）

cat $COHERENCE_HOME/version.txt
$ORACLE_HOME/oracle_common/bin/version.sh

出力例:

Coherence 12.2.1.4.1
Oracle Fusion Middleware 14.1.1.1.0

判定: バージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 ではなく、新しい修正バージョンであれば安全と判断してください。

追加で確認すべきこと

公開Nucleiテンプレートはないため再スキャンは不要ですが、不審なアクセスログや異常な通信ログを監視し、未知の攻撃がないか確認してください。

補足: 悪用観測状況

公開されているPoCや悪用事例、Exploitタグは現時点で存在しません。ランサムウェアグループによる悪用も確認されていません。ただしCVSS 9.8のCritical脆弱性であるため、今後急速に悪用可能になる可能性はあります。注意深い監視と早期対応が必要です。

補足: CVSSメトリクス詳細

• AV: Attack Vector (攻撃元) – NETWORK：遠隔からネットワーク経由で攻撃可能
• AC: Attack Complexity (攻撃の複雑さ) – LOW：特別な条件なし、簡単に攻撃可能
• PR: Privileges Required (必要な権限) – NONE：権限不要
• UI: User Interaction (ユーザ操作) – NONE：ユーザの操作不要
• S: Scope (影響範囲) – UNCHANGED：影響範囲は製品内部で完結
• C: Confidentiality (機密性影響) – HIGH：機密情報が完全に漏洩する可能性
• I: Integrity (完全性影響) – HIGH：データの改ざんが可能
• A: Availability (可用性影響) – HIGH：サービス停止や妨害が可能

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まず自分の環境のOracle Coherenceのバージョンを確認（STEP 3）。脆弱なバージョンならベンダーの公式パッチを適用し、対応済みバージョンにアップデートしてください（STEP 4〜5）。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークレベルでOracle CoherenceへのTCPアクセスを厳しく制限し、外部アクセスを遮断してください。これが公式の暫定対応となります。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーからは特定のIOC情報は未提供です。ログや異常通信監視を強化し、予期しない管理APIアクセスや異常リクエストを確認してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的深刻度を示しますが、EPSSは実際に悪用される確率を表します。両方を見て優先度判断が精確になります。本件は現時点でEPSSが未提供です。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Fusion Middlewareや他のミドルウェア製品は過去にも認証回避やリモートコード実行の類似脆弱性が報告されています。同種問題は今後も警戒が必要です。

参考文献

• NVD CVE-2026-60227
• Oracle公式セキュリティアラート (2026年7月)
• JVN iPedia：CVE-2026-60227
• CISA KEVカタログ
• GitHub Advisory Database検索

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧