【最重大】CVE-2026-60296 Oracle Coherenceにおける認証不要のリモートコード実行脆弱性 AI Security対策必須のバイブコーダー向け対応手順

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味

表記	条件	意味	対応目安
【至急/ランサム悪用】	CISA KEV登録 + ランサムウェア悪用観測	ランサムグループが現在進行形で悪用	本日中に対応開始
【至急/重大】	CISA KEV登録 + CVSS 9.0以上	実世界で攻撃観測あり + スコア極めて高い	本日中に対応開始
【重大/KEV登録】	CISA KEV登録(CVSS低またはNVD未反映)	実世界で攻撃観測あり	数日以内
【最重大】	CVSS 9.5以上(KEV未登録)	理論上の危険度ほぼ満点、攻撃観測はまだない	1週間以内に対応計画
【重大】	CVSS 9.0〜9.4(KEV未登録)	Critical帯の理論的高リスク	1〜2週間以内
【高】	CVSS 7.0〜8.9(KEV未登録)	High帯のリスク	計画的に対応
(プレフィックスなし)	CVSS 7.0未満	Medium以下のリスク	通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP	やること	かかる目安
STEP 1	何が起きているか理解する	3分
STEP 2	急ぎ対応すべきか判断する	3分
STEP 3	自分の環境が対象か確認する	5分
STEP 4	修正を適用する	環境による
STEP 5	修正されたことを確認する	3分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60296はOracle Fusion MiddlewareのOracle Coherence製品で発見された脆弱性です。攻撃者は認証なしでTCPネットワーク経由で不正アクセスし、Oracle Coherenceを乗っ取れます。これはLLMゲートウェイやAIインフラ運用者にとって最優先対応すべき重大な脆弱性です。

やさしく説明すると

この脆弱性は、あなたのチームが管理するAIインフラの「玄関の鍵」が壊れている状態に似ています。外部から攻撃者がその玄関を簡単に開けて、内部に入ってこられます。鍵がかかっていないだけでなく、何の認証も通さずに入れるのです。結果として大切なAIシステムが丸ごと乗っ取られてしまう危険があります。

技術的な原因

脆弱性の根本原因は、Oracle Fusion MiddlewareのコアコンポーネントであるOracle Coherenceにおける認証不備です。CWE分類は指定されていませんが、CVE記述からは「未認証のネットワーク経由でアクセス可能な重要機能の脆弱性」と推定できます。具体的には、ネットワークアクセス（AV:N）に対し認証権限（PR:N）が不要で、かつユーザ操作も不要（UI:N）で攻撃が成立します。攻撃の難易度（AC:L）は低いことから、容易に悪用が可能です。

影響を受けると何が困るか

• Oracle Coherenceの完全乗っ取りによるAIサービス停止
• 機密情報（APIキーやユーザデータを含むLLMコンテキスト）の漏洩
• プロンプトインジェクションを含むエージェント型AI乗っ取りの足掛かりにされる
• モデルやRAG（Retrieval Augmented Generation）データの改ざん・破壊
• 無限ループ的な請求コストの急増リスク
• テナント間での情報漏洩によるサービス信用失墜
• Agentic AIフレームワークやLLM Proxyのセキュリティ破綻
• CursorやCline、CopilotなどAIコーディングツール経由でローカル環境の侵害被害拡大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ	情報源	言語	何が分かるか	リンク
総合	NVD（米国 NIST）	英	米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。	開く
総合	MITRE CVE	英	CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。	開く
総合	JVN iPedia（JPCERT/CC・IPA）	日	日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。	開く
総合	CISA KEV（悪用観測カタログ）	英	米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。	開く
総合	GitHub Advisory Database	英	OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。	開く
総合	OpenCVE	英	複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。	開く
Linux	Red Hat CVE	英	Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。	開く
Linux	Ubuntu Security	英	Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。	開く
Linux	Debian Security Tracker	英	Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディストリ利用者向け。	開く
Linux	SUSE CVE	英	SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。	開く
悪用	Exploit Database	英	公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。	開く
悪用	Packet Storm Security	英	セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。	開く
悪用	GitHub PoC 検索	英	GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。	開く
悪用	X（Twitter）検索	日英	直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。	開く
スキャナ	Snyk Vulnerability DB	英	パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。	開く
スキャナ	Tenable（Nessus）	英	Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。	開く
スキャナ	Rapid7（Metasploit/Nexpose）	英	Metasploit悪用モジュール、Nexposeでの検出情報。	開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSSスコアは9.8のCritical。実務的には「今すぐ対応しないと重大障害が発生する可能性が非常に高い」状態です。
• EPSSスコアの公開はありませんが、攻撃条件が低いため悪用のリスクは高いと予想されます。
• ランサムウェア悪用は現時点で不明ですが、悪用容易なネットワーク脆弱性なので万一に備えるべきです。
• 公開PoCやExploitは現時点で見つかっていません。
• 認証不要、ユーザ操作不要でネットワーク経由で攻撃可能という条件のため、攻撃者のハードルは非常に低いです。

誰が動くべきか

• Oracle Coherenceを利用しているAI Gateway運用チーム
• LLM ProxyやAgenticフレームワークを導入しているセキュリティ/運用担当者
• AI駆動開発環境にOracle Fusion Middlewareを含むシステムを組み込んでいるエンジニア
• Cursor/Cline/CopilotなどAIコーディングツール利用者でバックエンドにCoherenceを使っている場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品	脆弱なバージョン範囲	修正版
Oracle Coherence (Oracle Fusion Middleware Core)	12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0	ベンダーアドバイザリ参照

バージョン確認コマンド

Oracle Linux / Linux 一般

rpm -qa | grep coherence

出力例:

oracle-coherence-14.1.2.0.0-1.el7.x86_64
oracle-coherence-12.2.1.4.0-2.el7.x86_64

判定: 出力中のバージョンが 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0 のいずれかに該当すれば脆弱

Oracle WebLogic Server 管理コンソール

java -jar coherence.jar -version

出力例:

Oracle Coherence Version 14.1.2.0.0

判定: バージョン番号が 対象範囲に入っていれば脆弱

設定確認

本脆弱性は設定依存ではありません。対象バージョンを使用していれば認証なしで攻撃されるため、必ずバージョンの確認を優先してください。

Nucleiテンプレートでの検出

本CVEに対応する公開Nucleiテンプレートは現時点で見つかっていません。ベンダー提供ツールまたはバージョン確認で判定してください。

STEP 4: 修正を適用する

パッチ適用

一般的なアップグレード手順（Oracle Coherence）

# Oracle公式サイトより最新版をダウンロード・インストール後、サービスを再起動する手順の例
# 最新パッチ適用はベンダーの公式アドバイザリを必ず参照してください。

注意: パッチ適用前に必ず現行環境のバックアップを取得し、ステージング環境で動作検証を行ってください。また、サービス停止に伴うダウンタイム計画を必ず立ててください。

パッチ即時適用ができない場合の暫定対応

2026年7月22日時点で、Oracleから公式の暫定対応案は提示されていません。状況によっては外部からのTCP接続を社内ネットワークに限定するなど、ネットワークレベルでのアクセス制御を検討してください。

STEP 5: 修正されたことを確認する

STEP 3 で実行したバージョン確認コマンドを、修正適用後にもう一度実行します。

期待される出力

Oracle Linux / Linux 一般

rpm -qa | grep coherence

出力例:

oracle-coherence-15.1.1.1.0-1.el7.x86_64

判定: バージョンが 15.1.1.1.0 以上であればOK

Oracle WebLogic Server 管理コンソール

java -jar coherence.jar -version

出力例:

Oracle Coherence Version 15.1.1.1.0

判定: バージョン番号が 最新の安全版 であればOK

追加で確認すべきこと

• 利用可能であればNucleiテンプレートの検出検証を再度実施
• アクセスログに不審なTCP接続や不正アクセス試行の痕跡がないか監視
• AI GatewayやAgentフレームワークのエラー・異常動作ログも併せて確認

補足: 悪用観測状況

現時点でCVE-2026-60296に関する公的な悪用観測記録はありません。GitHub上の公開PoCコードやExploit Databaseにも該当なしです。ランサムウェアによる悪用情報も未確認です。ただし、ネットワーク越しに認証なしで乗っ取られる脆弱性のため、今後悪用が出てくる可能性があります。十分な警戒と迅速な対応が求められます。

補足: CVSSメトリクス詳細

• 攻撃元（AV:N）: ネットワーク経由で攻撃可能
• 攻撃複雑度（AC:L）: 低い。攻撃に特別な条件不要
• 必要権限（PR:N）: なし。認証不要
• ユーザ操作（UI:N）: なし。犠牲者操作不要
• スコープ（S:U）: 変更なし。影響範囲は元のコンポーネント内
• 機密性影響（C:H）: 高。重大な情報漏洩をもたらす
• 完全性影響（I:H）: 高。データやシステムの改竄が可能
• 可用性影響（A:H）: 高。システム停止またはリソース奪取の可能性

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自環境のバージョンを必ず確認し、対象の場合はベンダー公式の修正版を適用してください。対応状況の確認はSTEP 5で行います。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式暫定対応はありませんが、ネットワークアクセス制御（ファイアウォール設定やACL）でTCP接続元を限定し、攻撃の可能性を低減してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログ監視を行い、攻撃元IPや異常なTCPアクセスの有無を確認してください。公的な攻撃インジケータはまだ公開されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の「理論的な深刻度」を示しますが、EPSSは「実際に悪用される確率」を示します。両者を組み合わせて優先度判断すると実務で役立ちます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様に認証なしでネットワーク越しに攻撃可能なOracle関連製品の脆弱性が過去に報告されています。常に公式の脆弱性情報をチェックしてください。

参考文献

• NVD: CVE-2026-60296
• Oracle公式セキュリティアラート (2026年7月)
• JVN iPedia: CVE-2026-60296

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧