【重大】CVE-2026-60248 Oracle Coherence製品の認証バイパス脆弱性 AI Security対策必須のLLM運用者向け実務手順

結論

• 危険度: Critical (CVSS 9.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60248はOracle Fusion MiddlewareのOracle Coherenceで発見された脆弱性です。攻撃者は認証なしでOracle Coherenceを乗っ取れます。主にLLMゲートウェイやAgenticフレームワーク運用者にとって重大かつ優先対応が必要な問題です。

やさしく説明すると

この脆弱性は「玄関の鍵が壊れている」ようなものです。誰でもログインなしにその建物の重要な部分に入れてしまいます。Oracle Coherenceというミドルウェアが狙われますが、これを使うほかのAI関連システムも影響を受ける可能性があります。放置すると「中の大事な情報を全部取られる」か「勝手にシステムを壊される」リスクがあります。

技術的な原因

この問題はCWEに特定のコードはありませんが、技術的には認証不要（PR:N）で、低い攻撃複雑性（AC:L）を持つローカルアクセス限定（AV:L）の脆弱性です。さらに「スコープ変更（S:C）」が起き、攻撃の影響がOracle Coherence以外のコンポーネントに波及します。つまり、攻撃者はシステム上でOracle Coherenceを完全に制御可能です。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）が漏洩し、AI利用料金やサービスが悪用される
• LLMコンテキストに含まれる顧客データが盗まれる
• プロンプトインジェクションを通じ、エージェントフレームワーク（Agentic）を乗っ取られる
• モデルやRAG（Retrieval Augmented Generation）データの改ざんによる応答品質低下
• 請求コストの異常な増大による経済的損失
• 複数テナント間での情報漏えい（マルチテナント環境の場合）
• インフラ全体への権限昇格と横展開攻撃
• AI駆動開発環境（Cursor、Cline、Copilotなど）を介したローカルファイルの不正読み取りや任意コード実行
• IDE拡張機能を経由したリモート遠隔操作
• .envファイルや認証情報の漏洩

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【重大】

判断根拠

• CVSSスコアは9.3（Critical）。実務的にはシステム全体の乗っ取りリスクが非常に高い深刻な脆弱性。
• EPSSスコアは現在未提供。悪用予測は公開されていない。
• ランサムウェア悪用の有無は不明。現時点で観測されていない。
• 公開PoCコードは存在しないが、低い攻撃複雑度(Low)かつ認証不要(No PR)なので実質容易に悪用可能。
• 攻撃はローカル環境内で実行可能（AV:L）が、対象サーバにログオンできる攻撃者は完全にOracle Coherenceを制御できる。

誰が動くべきか

• LLM Gatewayを本番運用しているチーム（例: LiteLLM、OpenRouterなど）
• Agentフレームワークの運用・開発者（LangChain、AutoGenなど）
• AIモデルやRAGパイプラインを管理しているMLインフラチーム
• バイブコーダー開発者（Cursor、Cline、Aider、GitHub Copilot、Claude Codeユーザー含む）
• AI駆動開発環境やIDE拡張を導入・管理している開発・SecOpsチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（Oracle Fusion Middleware環境）

# Oracle Coherenceのバージョン確認（例）
$ /path/to/coherence/bin/coherence.jar --version

出力例:

Coherence 14.1.2.0.0

判定: 出力されたバージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら脆弱です。安全なバージョンをベンダーアドバイザリで確認してください。

設定確認

本脆弱性は認証不要で発生するため、特定の設定に依存しません。バージョンが脆弱範囲内なら対策必須です。

STEP 4: 修正を適用する

パッチ適用

ベンダー公式アラート（Oracle CPU 2026年7月）を必ず確認してください。修正版の具体的なバージョンおよびアップグレード手順は公式ドキュメントに従います。

注意: パッチ適用前に必ず設定やデータのバックアップを取得してください。ステージング環境で動作検証し、ダウンタイム計画を立ててから本番適用してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対処法は公開されていません。アクセス制御を厳密にし、ログオンできるユーザーを限定することでリスクを軽減してください。

STEP 5: 修正されたことを確認する

STEP 3のバージョン確認コマンドを再度実行してください。修正済みバージョンにアップグレードされていることを確認します。

期待される出力

Linux（Oracle Fusion Middleware環境）

# Oracle Coherenceのバージョン確認（修正後）
$ /path/to/coherence/bin/coherence.jar --version

出力例:

Coherence 12.2.1.4.1 (修正済み)

判定: バージョンが 12.2.1.4.1 以上なら修正されています。ベンダーアドバイザリ最新版を参照してください。

追加で確認すべきこと

セキュリティログに不審なログオンや権限昇格がないか監視してください。公開Nucleiテンプレートは現時点で存在しませんが、将来提供され次第再実行してください。

補足: 悪用観測状況

現時点で公開されたPoCコードや攻撃モジュールの存在は確認されていません。CISA KEV（米国政府の悪用観測カタログ）にも未登録で、ランサムウェアによる悪用情報もありません。ただし、低い攻撃複雑度で認証不要のため、将来的な悪用リスクは高いと判断されます。

補足: CVSSメトリクス詳細

• AV（Attack Vector / 攻撃元）: LOCAL（ローカルアクセス限定）
• AC（Attack Complexity / 攻撃複雑度）: LOW（攻撃は簡単）
• PR（Privileges Required / 必要権限）: NONE（権限不要）
• UI（User Interaction / ユーザ操作）: NONE（ユーザ操作不要）
• S（Scope / 影響範囲）: CHANGED（攻撃対象が拡大し他コンポーネントに影響）
• C（Confidentiality Impact / 機密性影響）: HIGH（機密情報を完全に漏洩可能）
• I（Integrity Impact / 完全性影響）: HIGH（データ改ざんが可能）
• A（Availability Impact / 可用性影響）: HIGH（サービス停止を引き起こせる）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自環境のバージョンを確認し、脆弱なバージョンならSTEP 4でベンダー提供の修正版を適用してください。具体的なコマンドは本記事内にあります。

Q. パッチが適用できない場合、どうすればよいですか？

A. STEP 4の暫定対応として、Oracle Coherenceを動作するインフラへのアクセス制御を強化し、ログオンできるユーザーを限定してください。公式の暫定対応策は現時点で公開されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. セキュリティログを詳しく確認し、不審なログオンや異常な操作がないかを監視してください。公開PoCや悪用例はありませんが注意が必要です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方を見て優先度を判断するとより正確な対応ができます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様のOracle Fusion Middleware製品やミドルウェアで同じ認証不要のローカル権限昇格脆弱性が過去に存在します。ベンダーのセキュリティアラートを継続的に確認してください。

参考文献

• NVD（米国NIST）CVE-2026-60248
• MITRE CVE公式
• JVN iPedia
• Oracle CPU 2026年7月（ベンダー）
• CISA KEVカタログ
• Snyk Vulnerability DB
• Tenable Nessus
• Rapid7 Metasploit/Nexpose

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧

2026-07-29 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 6日）。

CWE追加

これまで技術的な脆弱性分類が未確定となっていた本件について、CWE-269（不適切な権限管理）が正式に割り当てられました。CWE-269は、アクセス権限や特権昇格に関する脆弱性の代表的なカテゴリであり、攻撃者が正規の権限外の操作を行えてしまう問題を指します。運用担当者にとっては、脆弱性の正確な技術背景が明確化されたことで、同カテゴリの既知脅威や対策フレームワーク等に照らして追加のリスク評価や運用強化がしやすくなります。今後は内部的なセキュリティドキュメントや評価レポート類にて「CWE-269」明記のうえ、同カテゴリに該当する他の攻撃シナリオも併せてレビュー対象とすることを推奨します。

結論ボックスの対象範囲が未記入

記事公開当初は、「本脆弱性がどのバージョンや製品に影響するか」が不明なままとなっていましたが、cpe:2.3:a:oracle:coherence:12.2.1.4.0:*:*:*:*:*:*:*, cpe:2.3:a:oracle:coherence:14.1.1.0.0:*:*:*:*:*:*:*, cpe:2.3:a:oracle:coherence:14.1.2.0.0:*:*:*:*:*:*:* という具体的な対象範囲が確定しました。自組織の該当環境がこれらCPE（Common Platform Enumeration）のいずれかに該当する場合、緊急対応が必要です。運用管理者は速やかにバージョン棚卸しを行い、該当環境が含まれるかどうか明確化してください。

結論ボックスの修正バージョンが未記入

公開時には「修正済みバージョン」について、「ベンダーアドバイザリ参照」とのみテンプレート形式で記載されていましたが、現在は修正方法を案内するベンダー公式アドバイザリ（https://www.oracle.com/security-alerts/cpujul2026.html）への具体的なリンクが追加されました。修正版へのアップデートまたは回避策の適用には、必ずこのアドバイザリの最新内容を参照し、Oracle側の指示内容に従って対応を進めてください。公式情報を直接確認することが、今後の運用リスク低減につながります。