【高】CVE-2026-60235 Oracle CoherenceのリモートDoS脆弱性解説とAI Security対応策 LLMS向け緊急マニュアル

結論

• 危険度: High (CVSS 8.6)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60235はOracle Fusion MiddlewareのOracle Coherence製品に存在する脆弱性です。この脆弱性により攻撃者は認証不要かつネットワーク経由でOracle Coherenceを停止（DoS）させたり、認可されていないデータの読み書きが可能です。AI/LLMゲートウェイの運用者にとって早急な対応が必要な重大問題です。

やさしく説明すると

この脆弱性はまるで玄関の鍵がかかっておらず、誰でも自由に出入りできる状態です。攻撃者はふいにやってきて、サーバを止めたり大事なファイルを書き換えたりできます。AIの後ろで動く重要な仕組みが壊れたり、情報が盗まれるかもしれません。だから運用者はすぐに「鍵」をかける必要があります。

技術的な原因

この脆弱性はCWEによる明確な分類が付いていませんが、本質的には攻撃者が認証（PR: Privilege Required）を必要とせず、ネットワーク経由（AV: Attack VectorはNETWORK）で攻撃可能な問題です。攻撃の難易度（AC: Attack Complexity）は低く、ユーザ操作も不要（UI: None）です。攻撃で機密性（C）、完全性（I）が低下しつつ、可用性（A）には高い影響があります。つまりサービス停止やデータの不正読み書きが許されてしまいます。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropicなど）の漏洩リスク
• LLMのコンテキストデータや顧客情報の窃取
• プロンプトインジェクション経由でのAgent（多段AI枠組み）乗っ取り
• モデルデータやRetrieval-Augmented Generation(RAG)の改ざん
• AI請求コストの異常増加（サービス妨害で連続呼び出しなど）
• テナント間（マルチテナント）情報漏洩
• 基盤インフラ全体への攻撃の横展開
• Cursor、Cline、CopilotなどAIコーディングツール経由でのファイル読み取りやコード実行リスク
• .envファイルや認証情報の漏洩

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSSスコアは8.6でHigh評価。実務的にはAIインフラに大きな影響が出るリスクと判断してください。
• EPSSスコアの公開はありませんが、ネットワーク経由で認証不要なため悪用のリスクは高いです。
• ランサムウェアグループによる悪用は現在確認されていません。
• 公開されているPoC（Proof of Concept）はありません。
• 悪用に必要な条件はネットワークアクセスのみ。認証もユーザ操作も不要で、攻撃は容易です。

誰が動くべきか

• Oracle Coherenceを用いているLLM Gateway運用チーム
• AI Agentフレームワークの中核にOracle Coherenceを使う運用・SecOpsチーム
• Oracle Coherenceを含むミドルウェア群を管理するMLインフラ担当
• Oracle Coherence経由でAIサービスのデータを扱うRAGパイプライン管理者
• AI駆動開発でOracle系バックエンドに依存しているバイブコーダー開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Oracle Coherence（環境依存）

# 通常はOracleの管理コンソールや設定ファイルでバージョンを確認
# 例: coherence.jar のバージョンを確認する場合
jar xf coherence.jar META-INF/MANIFEST.MF
grep 'Implementation-Version' META-INF/MANIFEST.MF

出力例:

Implementation-Version: 15.1.1.0.0

判定: 15.1.1.0.0の場合は脆弱。別バージョンはベンダー情報参照。

設定確認

本脆弱性は設定依存ではなく、バージョン 15.1.1.0.0 である場合、脆弱です。設定で緩和できる情報はベンダー公式アドバイザリにて確認してください。

Nucleiテンプレートでの検出

現時点で公開されたNucleiテンプレートはありません。検出は非破壊的なバージョン確認で実施してください。

STEP 4: 修正を適用する

パッチ適用

Oracle社からの公式パッチやアップデートが公開され次第、速やかに適用してください。アップグレードはOracle Fusion Middlewareのメンテナンス手順に従い、ステージング環境での検証を推奨します。

Oracle環境の一般的なアップデート例

# Oracle Fusion Middlewareのパッチ管理ツールでアップデートを確認・適用
./opatch lsinventory
./opatch apply

判定: パッチが正常に適用され最新バージョンになれば安全

注意: パッチ適用前に必ず環境のバックアップを取得してください。Oracle Fusion Middlewareのダウンタイム計画を含めて調整し、検証環境での事前検証を実施してください。

パッチ即時適用ができない場合の暫定対応

ベンダーからの暫定対応策は公式情報に未掲載です。可能ならOracle Coherenceサービスへのアクセスを社内ネットワーク内部に限定し、不要な外部TCPアクセスを遮断するネットワーク防御を強化してください。

STEP 5: 修正されたことを確認する

STEP 3のバージョン確認コマンドを再度実行して、修正済みバージョンになっていることを確認してください。

期待される出力

Oracle Coherence（バージョン確認例）

jar xf coherence.jar META-INF/MANIFEST.MF
grep 'Implementation-Version' META-INF/MANIFEST.MF

出力例:

Implementation-Version: 15.1.2.0.0

判定: バージョンが 15.1.1.0.0 ではなく、修正版であれば安全です。

追加で確認すべきこと

• ベンダー提供の検出ツールや最新のNucleiテンプレートが公開されていれば再実行する
• Oracle Coherenceのログ監視を強化し、不審なTCPアクセスやクラッシュ発生履歴をチェックする

補足: 悪用観測状況

現時点でCISA KEV（悪用観測カタログ）に登録はありません。GitHubやExploit DatabaseにもPoCは存在せず、ランサムウェアによる悪用報告もありません。ただし、ネットワークから認証不要で攻撃可能なため実環境での悪用リスクは高いです。運用チームは動きを注視してください。

補足: CVSSメトリクス詳細

• AV（Attack Vector：攻撃元）: NETWORK（ネットワーク越しに攻撃可能）
• AC（Attack Complexity：攻撃の難易度）: LOW（攻撃は容易）
• PR（Privileges Required：必要権限）: NONE（権限不要で攻撃可能）
• UI（User Interaction：ユーザ操作）: NONE（ユーザ操作不要）
• S（Scope：範囲）: UNCHANGED（影響範囲は同一）
• C（Confidentiality：機密性影響）: LOW（部分的な情報漏洩可能）
• I（Integrity：完全性影響）: LOW（データ改ざん可能）
• A（Availability：可用性影響）: HIGH（サービスの停止やクラッシュを引き起こす）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象バージョンの確認を行い、STEP 4でベンダーのパッチを適用し、STEP 5で修正確認をしてください。具体的なコマンド例は本記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 外部からのTCPアクセスをネットワークレベルで制限するなど、アクセス制御で攻撃機会を減らす暫定対応を必ず行ってください。詳細はベンダー公式情報を参照してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. Oracle Coherenceのログを監査し、不審な停止やクラッシュがないか、また外部からの異常なTCPアクセスの履歴を確認してください。標準のIOC情報はまだ公開されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の危険度を示しますが、EPSSは実際どれだけ悪用されるかを示します。EPSSがあれば優先対応の判断がより正確になりますが、本CVEはEPSSが未提供です。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Fusion Middleware製品には以前にも認証不要でサービス妨害や情報漏洩が可能な脆弱性が報告されています。類似のリスクはOracle Coherenceに限らず周辺製品も注意してください。

参考文献

• NVD: CVE-2026-60235
• Oracle公式セキュリティアラート (2026年7月)
• JVN iPedia: CVE-2026-60235
• CISA KEVカタログ
• GitHub PoC検索

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• DoS に関するCVE・脆弱性記事一覧