【最重大】CVE-2026-60257 Oracle Coherenceのネットワーク経由RCE脆弱性を解説 AI Security＆LLM運用者向け実践防御法

2026年7月22日

URLをコピーしました！

結論

危険度: Critical (CVSS 9.8)
対象: (詳細はベンダーアドバイザリ参照)
修正: ベンダーアドバイザリ参照
KEV: No (NVD Critical由来。CISA KEVには未登録)

タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味

表記	条件	意味	対応目安
【至急/ランサム悪用】	CISA KEV登録 + ランサムウェア悪用観測	ランサムグループが現在進行形で悪用	本日中に対応開始
【至急/重大】	CISA KEV登録 + CVSS 9.0以上	実世界で攻撃観測あり + スコア極めて高い	本日中に対応開始
【重大/KEV登録】	CISA KEV登録(CVSS低またはNVD未反映)	実世界で攻撃観測あり	数日以内
【最重大】	CVSS 9.5以上(KEV未登録)	理論上の危険度ほぼ満点、攻撃観測はまだない	1週間以内に対応計画
【重大】	CVSS 9.0〜9.4(KEV未登録)	Critical帯の理論的高リスク	1〜2週間以内
【高】	CVSS 7.0〜8.9(KEV未登録)	High帯のリスク	計画的に対応
(プレフィックスなし)	CVSS 7.0未満	Medium以下のリスク	通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-07-21 ｜本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP	やること	かかる目安
STEP 1	何が起きているか理解する	4分
STEP 2	急ぎ対応すべきか判断する	3分
STEP 3	自分の環境が対象か確認する	5分〜
STEP 4	修正を適用する	環境による
STEP 5	修正されたことを確認する	5分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60257は、Oracle Fusion MiddlewareのOracle Coherence製品に存在する重大な脆弱性です。攻撃者はTCP経由で認証なしにこの脆弱性を悪用し、Oracle Coherenceを完全に乗っ取れます。LLMゲートウェイやAIプラットフォーム運用者にとって最優先で対応すべき問題です。

やさしく説明すると

この脆弱性は、例えるなら「自宅の玄関ドアに鍵がかかっていない」状態に近いです。誰でも自由に中に入り、家の中を好きに動き回れるイメージです。Oracle Coherence はデータの共有や同期をする重要なソフトですが、ここが危険にさらされたら中の情報が盗まれたり、システムを壊されたりします。AIシステムで商用LLMのAPIキーや機密情報を扱う場合、非常に危険な状態です。

技術的な原因

この脆弱性の原因は、CWE（共通脆弱性分類体系）の詳細は未公表ですが、ネットワーク経由で認証や権限チェックが不十分なために起こっています。つまり、AV:N（攻撃元はネットワーク）、PR:N（権限不要）、UI:N（ユーザー操作不要）という設定からわかるように、攻撃者がネットワーク経由で直接狙い撃ちできます。これは最も危険な脆弱性形態の一つです。

影響を受けると何が困るか

APIキー（OpenAI/Anthropicなど）の漏洩リスクが高まる
LLMのコンテキスト情報や顧客データが盗まれ、プライバシー侵害が発生する
プロンプトインジェクションを介してAgentエージェントが乗っ取られる可能性
AIモデルやRAG（Retrieval-Augmented Generation）用の知識ベースを改ざんされる恐れ
請求コストが意図的に爆増する攻撃を受けるリスク
テナント間の情報漏洩や、AIシステム全体への横展開攻撃が可能になる
Cursor、Cline、CopilotなどAIコーディングツール経由でローカルファイルが読み取られたり、任意のコードが実行される可能性
IDE拡張機能を通じてリモート操作されるリスク
.env ファイルや認証情報が漏洩し、不正アクセスにつながる

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ	情報源	言語	何が分かるか	リンク
総合	NVD（米国 NIST）	英	米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。	開く
総合	MITRE CVE	英	CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。	開く
総合	JVN iPedia（JPCERT/CC・IPA）	日	日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。	開く
総合	CISA KEV（悪用観測カタログ）	英	米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。	開く
総合	GitHub Advisory Database	英	OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。	開く
総合	OpenCVE	英	複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。	開く
Linux	Red Hat CVE	英	Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。	開く
Linux	Ubuntu Security	英	Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。	開く
Linux	Debian Security Tracker	英	Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディスト利用者向け。	開く
Linux	SUSE CVE	英	SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。	開く
悪用	Exploit Database	英	公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。	開く
悪用	Packet Storm Security	英	セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。	開く
悪用	GitHub PoC 検索	英	GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。	開く
悪用	X（Twitter）検索	日英	直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。	開く
スキャナ	Snyk Vulnerability DB	英	パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。	開く
スキャナ	Tenable（Nessus）	英	Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。	開く
スキャナ	Rapid7（Metasploit/Nexpose）	英	Metasploit悪用モジュール、Nexposeでの検出情報。	開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

CVSS v3.1スコアは9.8（Critical）のため、理論的に非常に危険。AI Securityでは最優先で注視すべき。
EPSSスコアは未提供のため、「直近の悪用予測」は不明。
CISA KEVには未登録であり、ランサムウェアによる悪用情報は今のところ不明。
GitHub公開PoCは0件で、現時点では攻撃ツールの公開も確認されていない。
ネットワーク経由（TCP）で認証やユーザー操作なしに攻撃可能なため、非常に悪用しやすい。

誰が動くべきか

LLM Gateway運用チーム（例えばLiteLLMやOpenRouterを使う場合）
Agentフレームワーク開発者（LangChain、AutoGenなど本番導入している組織）
MLインフラチーム（vLLMやTritonを運用している場合）
RAGパイプライン保守者（AI検索＋生成環境を安全に運用している担当）
Notebookサーバ管理者（Jupyter等を社内で利用している場合）
バイブコーダー開発者（Cursor、Cline、Aider、GitHub Copilot、Claude Code等の利用者、特にIDE拡張含む）
AIコーディングサンドボックス利用者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品	脆弱なバージョン範囲	修正版
Oracle Coherence (Oracle Fusion Middleware)	14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0	ベンダーアドバイザリ参照

バージョン確認コマンド

Linux（Oracle Coherence インストール確認）

# Oracle Coherence のバージョンを確認するコマンド例
$ java -jar coherence.jar -version

出力例:

Coherence Version: 14.1.2.0.0

判定: 出力が 14.1.1.0.0、14.1.2.0.0または15.1.1.0.0であれば脆弱。

Oracle製品の管理コンソールまたは設定ファイル参照

Oracle Fusion Middlewareの管理画面でバージョン情報を確認してください。

判定: 該当バージョンならば、すぐにアップデート検討。

設定確認

本脆弱性はネットワーク経由で認証なしに侵害が可能なため、設定による回避手段はありません。設定に依存せず、該当バージョンを使っている場合は脆弱です。

Nucleiテンプレートでの検出

2026年7月時点で公開Nucleiテンプレートは提供されていません。検出はバージョン確認が中心です。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherenceのアップデート（Linuxサーバ例）

# Oracle提供のパッチを適用する（ベンダー公式の詳細手順が必要）
# 例: パッチファイルのダウンロードとインストール（仮例）
$ wget https://oracle.com/patches/coherence_patch_15.1.1.0.0.zip
$ unzip coherence_patch_15.1.1.0.0.zip
$ ./apply_patch.sh
# サービスの再起動
$ systemctl restart coherence

注意: パッチ適用前に必ず設定やデータのバックアップ、ステージング環境での検証、メンテナンスウィンドウの確保を実施してください。

パッチ即時適用ができない場合の暫定対応

ベンダーから公式の暫定対応策は提示されていません。ネットワークレベルでのアクセス制限やWAFルール設定により、TCPポートへの不正アクセスを遮断することが推奨されます。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実施してください。

期待される出力

Linux（Oracle Coherence バージョン確認）

$ java -jar coherence.jar -version

出力例:

Coherence Version: 15.1.1.0.1

判定: バージョンが 15.1.1.0.1 以上なら安全

追加で確認すべきこと

ログに不審な接続や攻撃と思われるアクセスがないか監視する
パッチ情報やNucleiテンプレートが提供されたら、脆弱検証を再実施する

補足: 悪用観測状況

2026年7月時点では、本脆弱性を悪用したランサムウェア攻撃や幅広い悪用は報告されていません。GitHub上に公開PoCも存在しないため、現状は理論上の高リスクと評価されています。今後の動向に注意してください。

補足: CVSSメトリクス詳細

AV（攻撃元）: NETWORK – 攻撃はリモートからネットワーク経由で可能
AC（攻撃複雑度）: LOW – 特別な条件を必要とせず攻撃が容易
PR（必要権限）: NONE – 権限なしで攻撃可能
UI（ユーザ操作）: NONE – ユーザー操作なしで攻撃が成立
S（スコープ）: UNCHANGED – 影響範囲は同じセキュリティ領域内
C（機密性影響）: HIGH – 機密情報が完全に漏洩する可能性がある
I（完全性影響）: HIGH – システムの内容が完全に改ざんされる可能性がある
A（可用性影響）: HIGH – システムが完全に停止する可能性がある

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で自分の環境のOracle Coherenceバージョンを確認し、対象バージョンならSTEP 4のパッチ適用を実行してください。完了後はSTEP 5を実施して修正を確認しましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークレベルでのブロックやWAFルール追加など暫定対応を検討してください。攻撃経路となるTCPポートへのアクセスを制限し、影響を最小化しましょう。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. システムログやネットワークログに異常なTCP接続や不審なアクセスがないか監視することが基本です。ベンダー提供の検出ツールやIOCがあれば活用してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際に悪用される確率を予測します。両者を合わせて評価することで対応の優先度をより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じくOracle製品やミドルウェアに存在するネットワーク経由の認証回避型脆弱性は過去にも報告されています。最新のベンダー情報を注視してください。

参考文献

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

Critical脆弱性に関するCVE・脆弱性記事一覧

この記事が気に入ったら
フォローしてね！

Follow @ai_sec_news_256

よかったらシェアしてね！

URLをコピーしました！

URLをコピーしました！