【最重大】CVE-2026-60279 Oracle Coherence 脆弱な資格なしRCE攻撃の危険性とAI Security対策手順

結論

• 危険度: 情報なし
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60279は、Oracle Fusion Middlewareの一部であるOracle Coherenceに存在する脆弱性です。攻撃者は認証なしでHTTP経由でOracle Coherenceを乗っ取り可能です。この脆弱性は、LLMゲートウェイを含むAIセキュリティ運用者にとって最優先で対応すべき深刻な問題です。

やさしく説明すると

この脆弱性は、まるで家の玄関の鍵がまったくかかっていないような状態です。誰でもインターネットを通じて勝手に中に入り込めてしまいます。つまり、正しい許可なしにOracleの重要なミドルウェアを操作できてしまいます。AIを動かすための基盤が乗っ取られると、中の情報が漏れたり、サービスが停止したりしてしまいます。

技術的な原因

この脆弱性は認証情報を必要とせず、ネットワーク経由でHTTPアクセスのみで攻撃可能な点が問題です。CVEのCVSSスコアは9.8で、影響範囲は機密性・完全性・可用性すべてに及びます。CWE(CWEとはセキュリティ弱点の分類番号)の詳細は未公開ですが、認証回避やアクセス制御不備と考えられます。

影響を受けると何が困るか

• Oracle Coherenceの完全な制御奪取により、AIゲートウェイの停止や不正操作が発生
• 重要な設定や認証情報の改ざんで、APIキー(OpenAIやAnthropic等)の漏洩リスク
• LLMコンテキスト窃取による顧客データやプロンプト内容の漏洩
• AI Agentフレームワーク乗っ取りやプロンプトインジェクション攻撃の踏み台となる危険
• RAG（Retrieval-Augmented Generation）パイプラインのデータ改ざんや利用停止による影響
• AI駆動開発ツール(Cursor/Cline/GitHub Copilot等)経由のファイルやコードベースへの不正アクセス
• テナント間の情報漏洩による多重被害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSSスコアは9.8で極めて高く、機密性・完全性・可用性すべてに深刻な影響を与える
• EPSSスコアは提供されていないため、実際の悪用予測は不明
• CISAのKnown Exploited Vulnerabilities (KEV)カタログには未登録で、ランサムウェア悪用も不明
• 公開されたPoCコードは存在せず、すぐに悪用されている証拠は現状ない
• 攻撃にはネットワーク経由のHTTPアクセスのみで認証不要なため、環境によっては速やかな対応が求められる

誰が動くべきか

• Oracle Coherenceを利用するMLインフラチームやAIゲートウェイ運用チーム
• Agentフレームワークの開発者および運用担当者
• AI駆動開発でOracleミドルウェアを使うバイブコーダー開発者（Cursor/Cline等）
• RAGパイプラインの構築・保守を行う担当者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Oracle Coherence サーバ

# Oracle Coherenceのバージョン情報を得る一般的な確認例（環境によって異なるためベンダー参照必須）
java -jar coherence.jar -version

出力例:

Oracle Coherence Version: 14.1.1.0.0

判定: 出力されたバージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら脆弱です。

設定確認

本脆弱性は設定依存ではありません。対象バージョンを使用していれば脆弱です。必ず全環境でバージョンを確認してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherence (一般的なアップグレード手順例)

# Oracle Coherence のアップグレードはベンダー公式ドキュメントを参照してください。
# 一般的にはOracleのMy Oracle Supportから最新版のパッチまたはアップデートパッケージを取得し、
# 適切な手順に従って再展開・サーバ再起動を行います。

注意: パッチ適用前に必ず環境のバックアップを取得し、テスト環境で動作検証を実施してください。ダウンタイムが発生するため、影響範囲を十分把握した上で計画的に実施してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応はベンダーから提示されていません。ネットワークレベルでのアクセス制限やWAFのルール追加が考えられますが、確実な防御策はパッチ適用です。

STEP 5: 修正されたことを確認する

STEP 3 で紹介したバージョン確認コマンドを再度実行してください。

期待される出力

Oracle Coherence サーバ

java -jar coherence.jar -version

出力例:

Oracle Coherence Version: 15.1.2.0.0

判定: バージョンが 15.1.2.0.0 以上なら安全です。修正パッチ適用済みを確認してください。

追加で確認すべきこと

公式のNucleiテンプレートは現在ありませんが、ベンダー提供の検出ツールやログ監視で不審アクセスを検出してください。侵害痕跡がないかもあわせて確認を推奨します。

補足: 悪用観測状況

現在、CISAのKnown Exploited Vulnerabilities（KEV）カタログには登録されていません。また、GitHub上の公開PoCコードも存在しません。ランサムウェアによる悪用報告もなく、現時点で実際の攻撃観測はありません。

補足: CVSSメトリクス詳細

• AV（攻撃ベクトル）: Network (N) – ネットワーク経由で攻撃可能
• AC（攻撃の困難さ）: Low (L) – 簡単に攻撃可能
• PR（必要な権限）: None (N) – 事前認証不要
• UI（ユーザー操作）: None (N) – ユーザー操作不要
• S（範囲）: Unchanged (U) – 攻撃範囲の変化なし
• C（機密性への影響）: High (H) – 機密情報が完全に漏洩する可能性
• I（完全性への影響）: High (H) – 情報や機能が改ざんされる可能性
• A（可用性への影響）: High (H) – システム停止などの影響

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まず自分の環境のOracle Coherenceのバージョンを確認し、該当するバージョンの場合はベンダーの修正パッチを適用してください。STEP 3〜5を確実に実施することが重要です。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、ネットワークアクセス制御やWAFルールの導入で攻撃を防ぐことを検討してください。できるだけ速やかにパッチを適用する計画を立ててください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 現状、悪用確認はありませんが、ログ監視で不審なHTTPアクセスや異常な振る舞いを確認してください。ベンダーからのI/Oリストが公開され次第、対応を強化してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際にどれだけ悪用されるかの予測確率を表します。両方を参照することで、対応の優先順位をより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様に認証なしでリモート攻撃が可能なミドルウェアの脆弱性は過去にも報告されています。Oracle製品以外のAI関連ミドルウェアも定期的に監視してください。

参考文献

• NVD – CVE-2026-60279
• MITRE CVE – CVE-2026-60279
• JVN iPedia – CVE-2026-60279
• CISA KEV Catalog
• GitHub Advisory Database – CVE-2026-60279

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧