【高】CVE-2026-60222 Oracle Coherenceの認証バイパス脆弱性がLLMインフラに及ぼす影響とAIセキュリティ対策ガイド

結論

• 危険度: High (CVSS 8.1)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60222はOracle Fusion MiddlewareのOracle Coherence製品で発見された脆弱性です。攻撃者は認証なしでネットワーク経由の特定プロトコルを使って製品を乗っ取れます。LLMゲートウェイやAgentフレームワーク運用者にとって最優先対応が必要です。

やさしく説明すると

例えば、あなたのオフィスの監視システムの玄関に鍵がかかっていず、誰でも自由に操作できる状態です。この脆弱性は、ネットワーク通信の特定の入り口が無防備なことが原因で攻撃者が侵入して使っている機材を乗っ取れる状態を指します。こうなるとAIを使ったシステム全体の安全性が大きく損なわれます。

技術的な原因

この問題は「認証なしでアクセス可能」かつ「高い機密性・完全性・可用性への影響」があるネットワークベースの脆弱性です。CWE分類は提供されていませんが、脆弱性の根本的な原因はアクセス制御の欠如により、攻撃者がT3およびIIOPプロトコル（Oracle Coherenceが使う通信手段）経由で不正操作できる点にあります。

影響を受けると何が困るか

• APIキーや認証情報の漏洩でOpenAIやAnthropic等の重要情報の流出
• LLMコンテキスト窃取による顧客データや機密情報の抜き取り
• プロンプトインジェクションを利用したAgent乗っ取りや改ざん
• モデルやRAG（Retrieval-Augmented Generation）データの不正改変
• 請求コストの不正増加による運用コスト爆増
• 同一インフラのテナント間情報漏洩
• AgenticフレームワークやLLM Proxyを使う運用全体への影響
• CursorやCline、CopilotなどAI駆動開発ツール経由での情報漏えいリスク
• .envファイルや機密認証情報の流出によるさらなる被害拡大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSSスコアは8.1（High）で重要度は高い。実務的にはAIインフラに深刻な影響。
• EPSSスコアは未提供。悪用予測は不明だがネットワーク経由で認証不要という点が怖い。
• ランサムウェア悪用は現時点で不明。悪用コード（PoC）も公開されていない。
• 攻撃対象はネットワーク経由のT3、IIOPプロトコル。攻撃は複雑度高いが認証不要。
• デフォルト設定で脆弱な場合、まずは速やかにバージョン確認と修正準備運用必須。

誰が動くべきか

• LLM Gateway運用チーム（Oracle Coherenceを使う場合）
• Agentフレームワーク開発者や運用者（特にAgentic設計の場合）
• MLインフラチーム、RAGパイプライン保守者
• バイブコーダー開発者（Cursor/Cline/Aider/GitHub Copilot/Claude Code等を利用する開発者）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Windows（Oracle環境）

java -jar coherence.jar -version

出力例:

Oracle Coherence 14.1.2.0.0

判定: 脆弱なバージョンの場合 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、または 15.1.1.0.0なら脆弱です。該当しなければ安全です。

設定確認

本脆弱性は設定依存ではなく、対象バージョンであれば脆弱です。設定変更による暫定対応はありません。

Nucleiテンプレートでの検出

公開Nucleiテンプレートは見つかっていません。バージョン確認が主要な検出手段です。

STEP 4: 修正を適用する

パッチ適用

Oracle公式のアップデートパッチを入手し、Oracle Coherenceを対象製品の最新バージョンにアップグレードしてください。以下はアップグレード例です。

Linux（Oracle環境）

sudo yum update oracle-coherence

出力例:

oracle-coherence-x.y.z updated successfully

判定: バージョンが x.y.z 以上であれば安全

Windows（Oracle環境）

choco upgrade oracle-coherence -y

出力例:

oracle-coherence vX.Y.Z installed successfully

判定: バージョンが X.Y.Z 以上であれば安全

注意: パッチ適用前に必ずバックアップを取得し、ステージング環境で動作確認を行ってください。ダウンタイムが必要な場合は稼働時間を調整してください。

パッチ即時適用ができない場合の暫定対応

ベンダー公式の暫定対応は提示されていません。ネットワークレベルでT3/IIOPポートへの不要アクセスを制限してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを、再度実行してください。

期待される出力

Linux / Windows（Oracle環境）

java -jar coherence.jar -version

出力例:

Oracle Coherence 15.2.0.0.0

判定: バージョンが 15.1.1.0.0 より上ならOK

追加で確認すべきこと

• パッチ適用後のログに不審なアクセスがないか監視する。
• 公開Nucleiテンプレートは未提供だが、ベンダー提供検出ツールがあれば再スキャンする。

補足: 悪用観測状況

CVE-2026-60222について、ランサムウェアによる悪用観測は今のところありません。GitHub上のPoCコードも公開されていません。NVDのExploitタグは未登録です。今後の動向に注意してください。

補足: CVSSメトリクス詳細

• 攻撃元 (AV: Attack Vector): NETWORK – ネットワーク経由で攻撃者が接近できる。
• 攻撃複雑度 (AC: Attack Complexity): HIGH – 攻撃には複雑な条件や技術が必要。
• 必要権限 (PR: Privileges Required): NONE – 攻撃に権限不要。
• ユーザ操作 (UI: User Interaction): NONE – 利用者の操作不要。
• 影響範囲 (S: Scope): UNCHANGED – 攻撃範囲は製品のスコープ内。
• 機密性への影響 (C: Confidentiality): HIGH – 機密情報を完全に漏洩させる可能性あり。
• 完全性への影響 (I: Integrity): HIGH – システムやデータを完全に改ざん可能。
• 可用性への影響 (A: Availability): HIGH – システム停止も発生しうる。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で環境のバージョン確認を行い、対象バージョンならSTEP 4でベンダーの修正パッチを適用してください。STEP 5で適用済みを確認してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 本CVEは設定依存ではないためパッチ非適用環境はリスクが高いです。暫定的にT3/IIOPポートへのアクセス制御を強化し、ネットワーク隔離を実施してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダー提供のログ解析ツールやアクセスログの検査で不審なT3/IIOP通信がないか確認してください。公開のPoCコードはありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは深刻度を示しますが、EPSSは実際に悪用される可能性の確率を示します。両者を合わせて判断すると優先度を正確に評価できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 本脆弱性と同様に認証なしアクセスで製品を乗っ取る脆弱性は、Oracle製品だけでなく他のミドルウェアにも過去に報告されています。継続的に公式情報を確認してください。

参考文献

• NVD – CVE-2026-60222
• Oracle公式セキュリティアラート（2026年7月）
• JVN iPedia – CVE-2026-60222
• CISA KEVカタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧