【重大】CVE-2026-60220 Oracle Coherenceの認証不要RCE脆弱性解説 AI Security視点からのAgentic開発者向け緊急対策

結論

• 危険度: Critical (CVSS 9.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60220は、Oracle Fusion MiddlewareのOracle Coherenceにある脆弱性です。攻撃者はネットワーク経由で認証なしに一部操作が可能で、運用者にとって非常に怖い問題です。

やさしく説明すると

この脆弱性は、ソフトウェアの玄関の鍵がかかっていない状態に似ています。攻撃者は認証なしに特別な操作を仕掛けられます。ただし、一緒に使う人が何か操作しないと攻撃は成立しません。被害が深刻で、多くの重要なデータを改ざんされたり盗まれたりする恐れがあります。

技術的な原因

この脆弱性はCWE番号は示されていませんが、CVSS情報から「UI（ユーザ操作）を必要とする低複雑度脆弱性」であることがわかります。これは攻撃複雑度（AC: Attack Complexity）が低く、攻撃者がネットワークアクセス（AV: Attack VectorはNETWORK）を持っていれば、攻撃対象に容易に接触可能であることを示します。

また、スコープ（S: Scope）が「CHANGED（変更）」であるため、この脆弱性により単一のコンポーネントだけでなく、関連する他の製品やコンポーネントにも影響が及ぶ可能性があります。つまり侵害の範囲が広がる点が重要です。

影響を受けると何が困るか

• AI/LLMゲートウェイやAgentフレームワークのデータ信頼性が失われる
• ユーザの認証情報やAPIキーが漏洩しやすくなる
• LLMプロンプトやコンテキストの改ざんによる不正応答のリスク
• インフラ全体に横展開されて、AI駆動ツールの開発環境も巻き込まれる可能性
• Cursor や Cline、Copilot などのAIコーディングツール経由で、ローカルファイルが読み取られたり改ざんされたりする恐れ

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【重大】

判断根拠

• CVSS v3.1スコアは9.3でCritical、実務的には極めて高リスク
• EPSSスコアは未提供で、悪用予測は不明
• ランサムウェアによる悪用観測は確認されていない
• 公開PoCはGitHub上に存在しない
• 攻撃者は認証なしのネットワークアクセスで攻撃開始可能、ユーザ操作が必要だが攻撃複雑度は低い
• スコープが変更（CHANGED）で、影響範囲が拡大する可能性がある

誰が動くべきか

• Oracle Fusion MiddlewareのOracle Coherenceを運用しているAI/LLMインフラ担当者
• Agentフレームワーク運用者（LangChain、AutoGen等）でCoherenceを利用する場合
• AI Gatewayの基盤となるミドルウェアチーム
• RAGパイプラインのバックエンドにOracle製品を組み込んでいるMLインフラ担当者
• Cursor、Cline、GitHub CopilotなどのAI駆動開発環境にCoherenceを使う場合はSRE/SecOpsが注視

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Oracle 製品（一般的な方法）

# Oracle Coherence のバージョンを確認するには、管理コンソールやコマンドラインからバージョン情報を取得してください。具体的なコマンドは環境によります。

出力例:

Oracle Coherence Version: 14.1.2.0.0

判定: 出力のバージョンが 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0 のいずれかなら脆弱

設定確認

この脆弱性は特定の設定依存ではありません。対象のバージョンであれば脆弱です。

Nucleiテンプレートでの検出

現時点で公開されているNucleiテンプレートはありません。バージョン確認とベンダー情報で検出してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherenceの修正版がベンダーから提供され次第、速やかにアップグレードしてください。公式のセキュリティパッチはOracle公式セキュリティアラートを参照してください。

注意: パッチ適用前に必ず現行環境のバックアップを取得し、開発もしくはステージング環境で動作確認を行ってください。重大脆弱性のため、ダウンタイム計画も検討してください。

パッチ即時適用ができない場合の暫定対応

ベンダーから明確な暫定対応策は提供されていません。ネットワークレベルでOracle Coherenceサービスへのアクセス制限やWAF/IPSで異常な通信を検知・遮断することが現実的な対策です。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Oracle 製品（一般的な方法）

# バージョン確認例
Oracle Coherence Version: 15.1.1.0.1

判定: バージョンが 15.1.1.0.1 以上またはベンダー指定の安全な修正バージョンであれば問題なし

追加で確認すべきこと

• 非公開のNucleiテンプレートや最新のベンダー推奨検出ツールの実行
• ログ監視で不審なネットワークアクセスがないか確認
• AI GatewayやAgentなど、Coherenceを利用する他のコンポーネントでの動作異常把握

補足: 悪用観測状況

CISAの悪用観測カタログ（KEV）には未登録で、GitHub上のPoCも確認されていません。ランサムウェアや大規模攻撃での利用報告も現時点ではありません。ただし、CVSS 9.3のCritical評価であるため警戒が必要です。

補足: CVSSメトリクス詳細

• AV (攻撃元): NETWORK（ネットワーク経由で攻撃可能）
• AC (攻撃複雑度): LOW（攻撃方法は簡単）
• PR (必要権限): NONE（認証不要）
• UI (ユーザ操作): REQUIRED（攻撃成立にはユーザ操作が必要）
• S (スコープ): CHANGED（侵害範囲が拡大可能）
• C (機密性影響): HIGH（重要情報が漏洩）
• I (完全性影響): HIGH（データ改ざんされる）
• A (可用性影響): NONE（サービス停止の影響はない）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. 対象のOracle Coherenceバージョンを特定し、ベンダーが配布するパッチを適用してください。STEP 3～5を順に実施してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークアクセス制限やWAF/IPSで通信を制御し、攻撃経路を遮断してください。ベンダーからの暫定対応が出た場合は速やかに適用しましょう。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 攻撃ログや不審なアクセスを監視してください。現時点で公開されたIoC情報はありませんが、Oracle製品の管理ログを重点的に確認しましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両方を確認すると対応優先度の判断が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様にネットワーク経由で認証不要・低複雑度のスコープ変更型脆弱性は、Oracle製品や他のミドルウェアでも過去に報告されています。情報収集と早期対応が重要です。

参考文献

• Oracle公式セキュリティアラート
• NVD詳細情報 (米国NIST)
• CISA KEVカタログ
• JVN iPedia
• GitHub Advisory Database

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧

2026-07-29 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 6日）。

CWE追加: (なし)→CWE-284

公開当初は本脆弱性に該当するCWE（共通脆弱性タイプ分類）が明示されていませんでしたが、今回「CWE-284」（アクセス制御に関する脆弱性）が新たに紐付けられました。これにより、技術的根拠として本件が「不十分なアクセス制御」または「適切な認可の欠如」に起因する問題であることが明確になりました。実運用上は、ミドルウェアやサービスの公開設定・アクセス権限レビューを徹底し、不要なネットワーク公開や権限肥大化を抑制する方針がより重視されるべきです。ユーザの権限設計やACLの精査を本脆弱性への短期対応策として強く推奨します。

結論ボックスの対象範囲が未記入: (詳細はベンダーアドバイザリ参照)→cpe:2.3:a:oracle:coherence:12.2.1.4.0:*:*:*:*:*:*:* / cpe:2.3:a:oracle:coherence:14.1.1.0.0:*:*:*:*:*:*:* / cpe:2.3:a:oracle:coherence:14.1.2.0.0:*:*:*:*:*:*:*

記事公開時点では脆弱性の影響範囲（対象となる具体バージョン）が明記されておらず、十分な判断材料がありませんでした。現在はOracle Coherenceの「12.2.1.4.0」「14.1.1.0.0」「14.1.2.0.0」が影響対象として特定されています。運用担当者は、利用しているOracle Coherenceの正確なバージョン確認を速やかに実施し、これら該当バージョンが含まれる場合は早急な対応計画を検討してください。また、構成管理台帳やインベントリリストにCPE（共通製品識別子）としてこれらが登録されているかも併せて確認するとよいでしょう。

結論ボックスの修正バージョンが未記入: ベンダーアドバイザリ参照→ベンダーアドバイザリ参照: https://www.oracle.com/security-alerts/cpujul2026.html

初公開時は修正情報が「ベンダーアドバイザリ参照」とだけ記載されており、具体的な修正内容や参考すべき公式URLが明記されていませんでした。今回、「ベンダーアドバイザリ参照: https://www.oracle.com/security-alerts/cpujul2026.html」と具体化されたことで、修正内容やパッチ情報を公式アドバイザリで直接参照できるようになりました。読者・管理者は本リンクよりOracle公式見解および最新パッチ配布状況を都度確認し、修正バージョンの適用漏れがないよう対応を徹底してください。