【最重大】CVE-2026-60229 Oracle Coherenceの未認証ネットワークRCE脆弱性解説 AI Security専門家向け緊急対策ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60229はOracle Fusion MiddlewareのOracle Coherence製品にある脆弱性です。攻撃者はネットワーク経由で認証なしにOracle Coherenceを乗っ取れます。LLMゲートウェイやAgent基盤でOracle Coherenceを利用する運用者にとって、最優先で対応すべき重大な問題です。

やさしく説明すると

イメージとしては、会社の重要なサーバーの玄関ドアに鍵がかかっていない状態です。悪意ある第三者は自由にその中に入り、サーバーを完全に操作できます。AIの中核で使われているOracle Coherenceが乗っ取られると、AIシステムの安全性が根底から揺らぎます。合鍵を勝手に複製されてしまったのと同じことです。

技術的な原因

この脆弱性は、Oracle Coherenceのネットワークアクセス制御の不備に起因します。具体的には、TCP通信経由で認証なしに不正操作を許す設計ミスです。CWE（共通脆弱性識別子）分類は提供されていませんが、CWE-306（認証の不備）に近い問題と考えられます。攻撃複雑度は低く(AC:L)、権限不要(PR:N)、ユーザー操作も不要です（UI:N）。

影響を受けると何が困るか

• AI Gateway や Agent フレームワークにおけるシステム全体乗っ取りリスク
• LLMに組み込むRAGデータやモデルの改ざん・情報漏洩
• 認証情報やAPIキー、例えばOpenAIやAnthropicのキー漏洩リスク
• テナント間のデータ分離が壊れ、顧客情報が流出する恐れ
• インフラ全体へ攻撃が横展開し、LLM ProxyやMCP Serverも危険に晒される
• バイブコーダーが使うIDE拡張やAIコーディングツール(Cursor, Cline等)経由でのリモートコード実行
• 長期的にサービス停止や大規模障害、信頼低下、コスト増加が発生

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSSスコアは9.8でCritical（最重大レベル）。実務的には、即座に攻撃されるとシステム全体が乗っ取られる極めて危険な脆弱性です。
• EPSSスコアの情報はありませんが、攻撃複雑度が低く認証不要かつネットワーク経由で悪用可能なため、悪用される可能性は常に高いと評価されます。
• ランサムウェア悪用は現時点で不明（Unknown）ですが、攻撃が簡単なため悪用されるリスクは高いです。
• 公開PoCは0で未発見ですが、この脆弱性はOracle製品のコアかつネットワーク公開されるため、放置は危険です。
• 攻撃にユーザー操作も権限も不要（PR:N、UI:N）、ネットワーク経由で直接攻撃できるため即対応が求められます。

誰が動くべきか

• LLM GatewayやAgentフレームワークを本番利用している運用チーム（例: LiteLLM, OpenRouterなど）
• AIを支えるインフラチーム（例: MCP Server, LLM Proxy管理者）
• バイブコーダーが利用するAIコーディングツールの開発・運用チーム（Cursor, Cline, Copilot等）
• AIサービス全般のセキュリティ担当やSecOps/SREチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux/Unix シェル

# Oracle Coherence のバージョン確認例（インストール場所に合わせて変更してください）
coherenceVersion=$(cat /opt/oracle/coherence/version.txt 2>/dev/null || echo "不明")
echo "Oracle Coherence Version: $coherenceVersion"

出力例:

Oracle Coherence Version: 14.1.1.0.0

判定: 出力されたバージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0のいずれかなら脆弱。別バージョンや不明の場合はベンダー公式情報で確認。

設定確認

本脆弱性は設定依存ではなく、上記バージョンに該当すれば脆弱です。設定変更では防げません。

Nucleiテンプレートでの検出

現時点で公開されたNucleiテンプレートはありません。脆弱性検出はバージョン確認によって行ってください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherence (Linux/Unix)

# パッチ提供やアップデート方法はOracleの公式セキュリティアラートを必ず確認してください。
# 以下はアップグレード例（環境に合わせてバージョン番号と手順を調整してください）
sudo yum update oracle-coherence
# または
sudo rpm -Uvh oracle-coherence-15.1.2.0.0.rpm

注意: パッチ適用前に必ずバックアップを取得し、ステージング環境で動作確認を行ってください。サービス停止の計画も忘れずに。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。緊急時はOracle CoherenceへのTCPアクセスを制限するネットワークACLやファイアウォールルールで外部からの接続を遮断してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを、修正適用後にもう一度実行してください。

期待される出力

Linux/Unix シェル

coherenceVersion=$(cat /opt/oracle/coherence/version.txt 2>/dev/null || echo "不明")
echo "Oracle Coherence Version: $coherenceVersion"

出力例:

Oracle Coherence Version: 15.1.2.0.0

判定: バージョンが 15.1.2.0.0 以上なら安全です。その他のバージョンは再確認とアップデートが必要です。

追加で確認すべきこと

• 今後公開されるNucleiテンプレートや公式検出ツールでのスキャンを実施してください。
• システムログや監査ログに不審なアクセスや異常がないか確認を継続してください。

補足: 悪用観測状況

現状、GitHubやExploit Database上でCVE-2026-60229の公開PoCコードはありません。PoCやエクスプロイトの報告も未確認です。ランサムウェアグループによる悪用の報告もありませんが、攻撃難易度が低いため今後の急速な悪用増加が懸念されます。

補足: CVSSメトリクス詳細

• AV (Attack Vector: 攻撃元): NETWORK (ネットワーク経由で攻撃可能)
• AC (Attack Complexity: 攻撃複雑度): LOW (簡単な攻撃で悪用可能)
• PR (Privileges Required: 必要権限): NONE (認証や権限不要)
• UI (User Interaction: ユーザー操作): NONE (利用者操作不要で攻撃可能)
• S (Scope: 範囲変更): UNCHANGED (攻撃によって範囲が変わらない)
• C (Confidentiality: 機密性影響): HIGH (重要情報漏洩が発生する)
• I (Integrity: 完全性影響): HIGH (データ改ざんが可能になる)
• A (Availability: 可用性影響): HIGH (サービス停止など業務妨害が発生)

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で自分の環境が対象か確認してください。対象バージョンであれば、STEP 4でパッチを適用し、STEP 5で修正済みを確認しましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. 暫定的にOracle CoherenceへのTCPアクセスをネットワークレベルで遮断してください。可能な限り早急にパッチを適用することが重要です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. システムログや監査ログに異常アクセスがないか確認してください。ベンダー公式のIOC情報やツールが出た場合は必ず利用しましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは技術的な深刻度を示しますが、EPSSは「実際に悪用される可能性」を示します。両方見ることで優先対応の判断がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-306「認証不備」に分類される脆弱性は他にも多数あります。特にネットワーク経由で権限不要で操作可能な脆弱性は高リスクなので注意が必要です。

参考文献

• NVD – CVE-2026-60229
• Oracle公式 セキュリティアラート (2026年7月)
• JVN iPedia – CVE-2026-60229
• CISA KEV カタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧