【最重大】CVE-2026-60230 Oracle Coherenceの認証不要TCPリモートコード実行脆弱性 AI Security対策必須のLLM運用者向け実践ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60230はOracle Fusion MiddlewareのOracle Coherenceで起きた脆弱性です。攻撃者はTCP経由で認証なしにアクセスし、Oracle Coherenceを完全に乗っ取れます。このためLLMゲートウェイを含む本番環境での運用者にとって最優先で対応すべき重大な問題です。

やさしく説明すると

Oracle Coherenceは複数のサーバー間でデータや処理を分散させる仕組みです。今回の脆弱性は玄関の鍵がかかっておらず、誰でも簡単に中に入れるような状態です。例えると、合鍵なしで侵入でき、大事な機械を自由に操作されてしまいます。これによりシステム全体が他人の手に落ちるリスクがあります。

技術的な原因

この脆弱性はCWE分類情報はありませんが、簡単に攻撃可能で認証が不要（PR:N, UI:N）なネットワーク経由のリモートコード実行に近い脆弱性です。CVSS 3.1スコア9.8は、機密性（C）、完全性（I）、可用性（A）すべてに重大な影響があることを示しています。つまり悪用されると攻撃者はOracle Coherenceの機密データを盗み、改ざんし、サービスを停止させることが可能です。

影響を受けると何が困るか

• Oracle Coherenceを利用しているAI GatewayやAgentフレームワークが乗っ取られる
• LLMアプリケーションのコンテキスト情報やユーザーデータが盗まれ、AI Securityリスクが激増する
• APIキーや認証情報が漏洩し、OpenAIやAnthropic等の外部サービス利用が不正アクセスされる
• プロンプトインジェクションや悪意あるコマンドでAgent乗っ取り・誤動作が起きる
• モデル学習用データやRAG（Retrieval-Augmented Generation）パイプラインの内容が改ざんされる
• 高額なクラウド請求が発生し、無駄なコスト負担に繋がる
• テナント間の情報漏洩が生じ、複数顧客のデータが危険にさらされる
• インフラ全体に横展開され、ほかのサービスや開発環境、バイブコーダー（Cursor/Clineなど）にも影響が波及する
• AIコーディングツールやIDE拡張機能からローカルファイルの読み取りや任意コード実行が可能になる恐れ
• .envや各種認証情報が流出し、社内外で許可していないアクセスが増加する

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1スコアは9.8でCritical（極めて高リスク）です。実務的にはシステム乗っ取りが可能なため最優先対応が必要です。
• EPSS（悪用予測スコア）は公開されていません。
• ランサムウェア悪用の報告は未確認です。
• 公開PoCは存在しません。攻撃手法の詳細は不明ですが、ネットワーク経由で認証不要なため攻撃は容易です。
• 攻撃はTCPで到達可能な環境なら誰でも実行可能です。ユーザ操作は不要で、デフォルト設定で脆弱な可能性があります。

誰が動くべきか

• Oracle Coherenceを利用し、AI GatewayやLLM Proxyを運用しているインフラ・SecOpsチーム
• AgenticフレームワークやRAGパイプラインを管理している機械学習エンジニア・SRE
• バイブコーダー（Cursor、Cline、Copilot、Aider、Claude Codeなど）を利用している開発者
• LLMベースのAIセキュリティを監視・管理するAI Security専門チーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（Oracle Coherence 本体）

# Oracle Coherence 起動中の場合、Java プロセスからバージョン情報を確認
ps aux | grep coherence
# または Oracle Coherence のインストールディレクトリにあるリリースノートやバージョンファイルを確認
cat /path/to/coherence/version.txt

出力例:

12.2.1.4.0
# または
14.1.1.0.0
# バージョン文字列が上記のいずれかであれば脆弱範囲

判定: バージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら 脆弱。それ以外は 安全

設定確認

本脆弱性は認証なしでネットワーク経由で制御権を奪われる問題です。設定依存の記述はないため、対象バージョンの場合は脆弱と考えてください。

Nucleiテンプレートでの検出

本件の公開Nucleiテンプレートは現在存在しません。検出はベンダー提供のモニタリングツールやバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Oracleは2026年7月のセキュリティアップデート通知で本脆弱性の修正版を発表する見込みです。最新のベンダー公式アドバイザリを必ず参照し、該当バージョンからのアップグレードを実施してください。

Oracle Coherence アップグレード例（Linux 端末）

# Oracle Fusion Middlewareの管理ツールを使ってアップグレード手順を実行
# 例: oracle_fmw_upgrade.sh -v 15.2.0.0.0
# 詳細はベンダー公式ドキュメントを必須確認

判定: 修正版バージョンを導入すれば 安全

注意: パッチ適用前に必ず環境のバックアップを取得し、非本番環境でステージングテストを行ってください。アップグレード作業によるサービス停止の可能性がありますので、影響範囲を把握した上でダウンタイム計画を立ててください。

パッチ即時適用ができない場合の暫定対応

現時点でベンダーの公式暫定対応は提示されていません。影響を受けるシステムはネットワークアクセス制限やFireWallルールの強化を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実行した同じバージョン確認コマンドを再度実行してください。

期待される出力

Linux（Oracle Coherence 本体）

cat /path/to/coherence/version.txt

出力例:

15.2.0.0.0
# 脆弱なバージョンとは異なる数字であれば安全

判定: バージョンが 15.2.0.0.0 以上なら 安全

追加で確認すべきこと

• ベンダー提供の監視ツールやログを確認して、不審なアクセスや攻撃がないか検査する
• 利用可能ならNucleiテンプレートが配布された場合は再度スキャンを実施する
• AI GatewayやAgentフレームワークのログも併せて監視し攻撃痕跡の有無を確認する

補足: 悪用観測状況

2026年7月21日時点で、本脆弱性の公開PoC（概念実証）や悪用コードは存在しません。CISA KEV（悪用観測カタログ）には登録されていません。ランサムウェアグループや攻撃者による現実的な悪用はまだ確認されていませんが、CVSSスコアが9.8のため早急の対策が必要です。

補足: CVSSメトリクス詳細

• AV（Attack Vector, 攻撃元）: Network – 攻撃者はネットワーク経由で攻撃可能
• AC（Attack Complexity, 攻撃の複雑さ）: Low – 攻撃条件が簡単で誰でも実行可能
• PR（Privileges Required, 必要な権限）: None – 認証や特別な権限不要
• UI（User Interaction, ユーザ操作）: None – ユーザの操作は不要
• S（Scope, 影響範囲）: Unchanged – 影響範囲は元の権限内
• C（Confidentiality, 機密性への影響）: High – 重要な情報が漏洩する
• I（Integrity, 完全性への影響）: High – データの改ざんが可能
• A（Availability, 可用性への影響）: High – サービス停止が起きる

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で影響バージョンか確認し、STEP 4で公式パッチを適用、STEP 5で修正確認を実施してください。具体的なコマンドとバージョンは本記事に記載されています。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークアクセス制限やFireWallルールの強化など、臨時対応を行うことが推奨されます。公式の暫定対応はまだありません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログ監視を実施し、不正なTCPアクセスや不審な動作がないかチェックしてください。ベンダー提供のIOC(Indicator of Compromise)情報が公開され次第活用しましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際にどれだけ悪用される可能性が高いかを示します。両方を確認することで対応の優先度をより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE分類情報はありませんが、Oracleや同様のミドルウェア製品にはネットワーク経由で認証不要な制御権取得脆弱性が過去にも報告されているため注意が必要です。

参考文献

• NVD – CVE-2026-60230
• MITRE CVE – CVE-2026-60230
• JVN iPedia
• Oracle Security Alerts July 2026
• CISA Known Exploited Vulnerabilities Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧