【最重大】CVE-2026-60302 Oracle Coherenceのリモートコード実行脆弱性解説とAI Security対応策ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味

表記	条件	意味	対応目安
【至急/ランサム悪用】	CISA KEV登録 + ランサムウェア悪用観測	ランサムグループが現在進行形で悪用	本日中に対応開始
【至急/重大】	CISA KEV登録 + CVSS 9.0以上	実世界で攻撃観測あり + スコア極めて高い	本日中に対応開始
【重大/KEV登録】	CISA KEV登録(CVSS低またはNVD未反映)	実世界で攻撃観測あり	数日以内
【最重大】	CVSS 9.5以上(KEV未登録)	理論上の危険度ほぼ満点、攻撃観測はまだない	1週間以内に対応計画
【重大】	CVSS 9.0〜9.4(KEV未登録)	Critical帯の理論的高リスク	1〜2週間以内
【高】	CVSS 7.0〜8.9(KEV未登録)	High帯のリスク	計画的に対応
(プレフィックスなし)	CVSS 7.0未満	Medium以下のリスク	通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP	やること	かかる目安
STEP 1	何が起きているか理解する	3分
STEP 2	急ぎ対応すべきか判断する	3分
STEP 3	自分の環境が対象か確認する	5分
STEP 4	修正を適用する	環境による
STEP 5	修正されたことを確認する	3分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60302はOracle Fusion Middleware のCoherence製品で発見された脆弱性です。攻撃者は認証なしでTCP経由から侵入し、Coherenceを完全に乗っ取れます。これはLLMゲートウェイ全般のバックエンドとして使うシステム運用者にとって最優先で対応すべき重大な問題です。

やさしく説明すると

この脆弱性は、まるで「オフィスの貸し会議室が鍵もかかっていない」ような状態です。誰でも自由に入り込めて、机の中の資料を書き換えたり壊したりできます。Oracle Coherenceは大規模システムの「重要なキャッシュ棚」の役割を担うため、一度侵入されると強力な攻撃者に好き放題操作されてしまいます。AI GatewayやAgentを運用する際の基盤として使うと、そのリスクは一層高まります。

技術的な原因

この脆弱性は、Oracle Coherenceのネットワークアクセス制御の実装不備が原因です。ネットワーク経由での不正なアクセスを検査・制限せずに、認証なしで処理を許してしまいます。CWE（共通弱点分類）としては「認証なしでのアクセス制御不備」に該当する可能性がありますが、詳細なCWE番号は未指定です。攻撃複雑度が低く、権限なしに攻撃可能（AC:L、PR:N）であるため、非常に危険です。

影響を受けると何が困るか

• 攻撃者がOracle Coherenceを乗っ取り、管理APIやデータに不正アクセスできる
• LLM Gatewayの状態や設定を改ざんされ、AIサービスが停止・誤動作する
• プロンプト情報や顧客データを窃取され、プライバシー侵害や情報漏洩が発生する
• 攻撃者が攻撃用エージェントを増殖させて、RAG（Retrieval Augmented Generation）パイプラインを悪用する可能性
• インフラ全体への横展開・権限昇格によってAI開発環境が丸ごと危険に晒される
• AI駆動開発ツール(Cursor/Cline/Aider/GitHub Copilot/Claude Code 等)を用いているバイブコーダー開発者が意図せぬ影響を受ける可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ	情報源	言語	何が分かるか	リンク
総合	NVD（米国 NIST）	英	米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。	開く
総合	MITRE CVE	英	CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。	開く
総合	JVN iPedia（JPCERT/CC・IPA）	日	日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。	開く
総合	CISA KEV（悪用観測カタログ）	英	米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。	開く
総合	GitHub Advisory Database	英	OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。	開く
総合	OpenCVE	英	複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。	開く
Linux	Red Hat CVE	英	Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。	開く
Linux	Ubuntu Security	英	Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。	開く
Linux	Debian Security Tracker	英	Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディスト利用者向け。	開く
Linux	SUSE CVE	英	SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。	開く
悪用	Exploit Database	英	公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。	開く
悪用	Packet Storm Security	英	セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。	開く
悪用	GitHub PoC 検索	英	GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。	開く
悪用	X（Twitter）検索	日英	直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。	開く
スキャナ	Snyk Vulnerability DB	英	パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。	開く
スキャナ	Tenable（Nessus）	英	Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。	開く
スキャナ	Rapid7（Metasploit/Nexpose）	英	Metasploit悪用モジュール、Nexposeでの検出情報。	開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSSスコアは9.8のCritical。機密性（C）、完全性（I）、可用性（A）への影響がすべて最高レベルです。実務的には、「即時対応を準備し、計画的に迅速な修正を行うべき」深刻度です。
• EPSS（悪用予測スコア）は未提供のため、悪用の実際の確率は不明です。
• CISA KEVカタログには登録がなく、現時点でランサムウェア悪用の観測情報はありません。
• PoCや公開エクスプロイトはGitHubを含めて確認できていません。
• 攻撃はネットワーク経由で可能で認証不要、ユーザ操作も不要です。容易に悪用可能な脆弱性です。

誰が動くべきか

• Oracle Coherence をバックエンドに使うミドルウェアやLLM Gateway運用チーム
• Agentフレームワークの運用担当（LangChainやAutoGenの統合環境など）
• RAGパイプラインを管理するAIアプリケーション開発・運用者
• MLインフラ担当者（vLLMやTritonなどの大規模推論サーバ構築者）
• バイブコーダー開発者でCoherenceや類似キャッシュ・分散システムに依存している場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品	脆弱なバージョン範囲	修正版
Oracle Coherence（Oracle Fusion Middleware）	12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0	ベンダーアドバイザリ参照

バージョン確認コマンド

Linux / Unix システム（Coherence製品のバージョン確認例）

grep "Coherence Version" /path/to/coherence/logs/coherence.log

出力例:

Info: Oracle Coherence Version: 14.1.2.0.0

判定: 出力に表示されたバージョンが12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0のいずれかなら脆弱です。

ポイント: Oracle Coherenceは単独でのパッケージ管理が一般的ではありません。設置環境や管理ツールのドキュメントも合わせてバージョン確認してください。

設定確認

本脆弱性は明確な設定依存ではなく、バージョンの脆弱性に起因します。設定変更による緩和策はベンダーからは提示されていません。したがって、脆弱なバージョンなら脆弱です。

Nucleiテンプレートでの検出

現在、本CVEに対応した公開Nucleiテンプレートはありません。検出はバージョン確認が確実です。

STEP 4: 修正を適用する

パッチ適用

Oracle公式のSecurity Alerts（https://www.oracle.com/security-alerts/cpujul2026.html）で修正版がリリースされる予定です。ベンダーの指示に従い速やかにアップデートしてください。

注意: 運用環境でのアップデート前には必ずバックアップを取得してください。ステージング環境での動作検証を推奨します。ダウンタイムスケジュールを立てて作業してください。

パッチ即時適用ができない場合の暫定対応

現時点でOracleから公式な暫定対応策は提示されていません。ネットワークレベルではCoherenceのTCPポートへのアクセス制限（ファイアウォール設定）を行い、信頼できるホストからのみアクセス可能な環境に限定してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実施してください。

期待される出力

Linux / Unix システム（Coherence製品のバージョン再確認例）

grep "Coherence Version" /path/to/coherence/logs/coherence.log

出力例:

Info: Oracle Coherence Version: 15.1.2.0.0

判定: バージョンが 15.1.2.0.0 以上であれば安全です。脆弱なバージョン番号（12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0）は対象外になっています。

追加で確認すべきこと

パッチ適用後は、ログ監査を継続して不審なアクセスがないか確認してください。Nucleiテンプレートがないため、ベンダー提供ツールや外部監査ツールで継続検査を行うのが望ましいです。

補足: 悪用観測状況

2026年7月時点でCISA KEVカタログには本脆弱性は未登録で、ランサムウェア等による悪用の報告はありません。GitHub上にも公開PoCは存在せず、Exploit Database等にも掲載されていません。つまり、まだ実世界で大規模な攻撃として観測されていませんが、CVSSスコアが極めて高く容易に悪用可能なため、早急な対応が推奨されます。

補足: CVSSメトリクス詳細

• AV（攻撃元）: NETWORK – 攻撃はリモートからネットワーク経由で可能
• AC（攻撃複雑度）: LOW – 攻撃に特別な条件や難しい手順が不要
• PR（必要権限）: NONE – 認証や権限なしに攻撃ができる
• UI（ユーザ操作）: NONE – ユーザ操作を必要としない
• S（スコープ）: UNCHANGED – 攻撃対象の権限境界を超えない
• C（機密性影響）: HIGH – 機密情報を完全に漏洩させる
• I（完全性影響）: HIGH – データ改竄など完全性を完全に損なう
• A（可用性影響）: HIGH – サービス停止など可用性にも重大な影響

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3〜5 を実施してください。具体的には環境のOracle Coherenceバージョンを調べ、該当バージョンであればベンダー公式の修正パッチを速やかに適用することです。

Q. パッチが適用できない場合、どうすればよいですか？

A. ファイアウォール等でCoherenceのTCPポートを外部アクセスから遮断し、信頼できる内部ネットワークのみに限定してください。公式による暫定対策は未提示です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. Coherenceのアクセスログやイベントログを監査し、不審な接続や操作がないか確認してください。現状、ベンダーから具体的なIOCは公表されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方を併せて見ると優先対応の判断がより正確になります。ただし、本脆弱性にはEPSSデータはまだ存在しません。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Coherence以外の分散キャッシュやミドルウェアで認証回避やネットワークアクセス制御不備の脆弱性が過去に報告されています。類似の脆弱性は同じ「認証なしアクセス制御不備（CWE-285等）」に分類されます。

参考文献

• NVD CVE-2026-60302
• Oracle Security Alerts (2026年7月)
• JVN iPedia – CVE-2026-60302
• CISA Known Exploited Vulnerabilities Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧

2026-07-29 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 6日）。

項目	公開時点	2026-07-29時点	変化の意味
CWE追加	CWE-285	CWE-306	新規CWE: CWE-306
結論ボックスの対象範囲が未記入	(詳細はベンダーアドバイザリ参照)	cpe:2.3:a:oracle:coherence:12.2.1.4.0:*:*:*:*:*:*:* / cpe:2.3:a:oracle:coherence:14.1.1.0.0:*:*:*:*:*:*:* / cpe:2.3:a:oracle:coherence:14.1.2.0.0:*:*:*:*:*:*:*	公開時は具体的な対象範囲が不明だったが、現在は確定済み（記事生成時の凡ミス補正）
結論ボックスの修正バージョンが未記入	ベンダーアドバイザリ参照	ベンダーアドバイザリ参照: https://www.oracle.com/security-alerts/cpujul2026.html	公開時は修正版情報が結論ボックスにテンプレ文字列のまま残っていた。現在は具体的な修正版が判明（記事生成時の凡ミス補正）

CWE追加（CWE-285 → CWE-306）

公開当初、当該脆弱性は「CWE-285（不十分な認可）」として分類されていましたが、現在は「CWE-306（認証されていないユーザによる制限されたリソースの利用）」へと変更されました。CWE-306はより深刻な認証不備であり、攻撃者が全く認証されていないにも関わらずリソースにアクセスできる状況を示します。技術的背景として、初期の想定よりもアクセス制御の欠如が直接的な「認証なし許可」であることが明確化された形です。これにより、運用担当者は単なる認可ポリシーの見直しだけでなく、エンドポイントへのアクセス自体を遮断・認証必須にする対策を強く求められます。

結論ボックスの対象範囲が未記入 → 具体的なCPEが明記

公開時は「詳細はベンダーアドバイザリ参照」という記載のまま、具体的な影響バージョン（CPE）が提示されていませんでしたが、現在は「cpe:2.3:a:oracle:coherence:12.2.1.4.0」、「14.1.1.0.0」、「14.1.2.0.0」など、明確な対象バージョンが示されました。これにより、自組織で導入しているOracle Coherenceが含まれるかを迅速・確実に判別できるようになりました。運用者は速やかに自環境のCPEまたはバージョン照会ツールを用いて該当有無を確認し、リスク判定とその後の対応計画につなげることが推奨されます。

結論ボックスの修正バージョンが未記入 → ベンダーアドバイザリURL明記

記事公開時には「ベンダーアドバイザリ参照」というテンプレ文のまま修正バージョンを案内していましたが、現在は具体的なベンダーアドバイザリURL（https://www.oracle.com/security-alerts/cpujul2026.html）へのリンクが明記されました。これによって、利用者は公式が案内する修正版情報やパッチ記述に素早くアクセスできるようになりました。現状ではベンダーアドバイザリ本文の閲覧に一時的な障害が生じる場合もありますが、情報取得の主軸はベンダー公式サイトとなるため、定期的な再確認と速やかなパッチ適用が重要です。