CVE-2026-60237 Oracle Coherenceの認証不要なデータ漏洩脆弱性とAIインフラ防御の必須対応策

結論

• 危険度: Medium (CVSS 5.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60237はOracle Fusion MiddlewareのOracle Coherence製品に存在する脆弱性です。ネットワーク経由で認証不要に攻撃者がOracle Coherenceを侵害し、機密情報の一部を不正に読み取れます。LLMゲートウェイやAIインフラ管理者にとって優先的に確認すべき問題です。

やさしく説明すると

この脆弱性は「玄関の鍵をかけ忘れている」状態に例えられます。誰でも外から入ってこられるため、家の中の一部の大事な書類を勝手に見られてしまいます。認証なしで無制限にアクセスできるため、攻撃者は重要情報を簡単に読めてしまいます。AIやLLMを動かす基盤が狙われた場合、顧客データやAPIキー漏洩の危険が高まります。

技術的な原因

この脆弱性は、Oracle Coherenceコンポーネントのネットワーク通信処理に問題があります。CWE（弱点共通分類）分類は明示されていませんが、ネットワーク経由（AV:N）で攻撃者が低い攻撃複雑度（AC:L）かつ認証不要（PR:N）でアクセスできます。つまりTCPポートが認証なしで開いており、適切なアクセス制御や認可検証が欠如しています。

結果として、機密性（C: L）に低い影響を与えます。完全性（I:N）や可用性（A:N）への影響はありません。実務的には、機密情報の一部漏洩がメインの問題です。

影響を受けると何が困るか

• APIキー（例: OpenAIやAnthropicの認証情報）の漏洩リスク
• LLMのコンテキストデータや顧客情報の窃取
• エージェントやAI Gatewayシステムの管理情報の不正取得
• テナント間のデータ分離破壊による情報漏洩
• AIコーディングツール（Cursor、Cline、Copilot等）の環境での認証情報漏洩
• LLM ProxyやAgenticフレームワークの不正アクセスにつながる恐れ
• インフラ全体への横展開リスクを生む可能性

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは 5.3（Medium）で機密性への影響が限定的
• 攻撃複雑度は低く、認証不要かつユーザ操作なしで攻撃可能
• EPSSスコアは提供されておらず、悪用予測は不明
• CISA KEV登録はなく、ランサムウェア悪用の報告も現時点で未確認
• 公開PoCや悪用ツールは未発見
• ネットワーク経由で攻撃できるためインターネットに公開されていると影響が大きい

誰が動くべきか

• Oracle Coherenceを利用するAI/LLMアプリケーションの開発・運用チーム
• AI GatewayやAgentフレームワークを運用するSRE/SecOpsチーム
• LLMインフラを管理するMLインフラ担当者
• AI駆動開発ツール（Cursor、Cline、Copilotなど）を使うバイブコーダー開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Oracle環境（Oracle製品確認コマンド例）

java -jar /path/to/coherence.jar -version

出力例:

Oracle Coherence 14.1.2.0.0

判定: 出力のバージョンが 14.1.1.0.0、14.1.2.0.0、または 15.1.1.0.0 の場合、脆弱です

設定確認

この脆弱性は設定依存ではありません。対象バージョンを使用していれば脆弱となります。設定で回避する方法は開示されていません。

Nucleiテンプレートでの検出

CVE-2026-60237に関する公開Nucleiテンプレートは現時点で見つかっていません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Oracle公式のセキュリティアップデートを適用してください。修正パッチはOracle Fusion MiddlewareのOracle Coherenceコンポーネント向けに提供されます。具体的なアップグレード手順やパッチ適用方法はベンダーアドバイザリを参照してください。

注意: パッチ適用前に必ずバックアップを取得し、ステージング環境での動作確認を行ってから本番環境へ反映してください。ダウンタイム計画も忘れずに。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応策は提示されていません。ネットワークアクセスの制限やファイアウォールでTCPポートの制限を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行します。

期待される出力

Linux / Oracle環境（Oracle製品確認コマンド例）

java -jar /path/to/coherence.jar -version

出力例:

Oracle Coherence 15.1.2.0.0

判定: バージョンが 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0以外の安全なバージョンであればOK

追加で確認すべきこと

Nucleiテンプレートが利用可能になった場合は再実行してください。アクセスログに不審なアクセスや異常な読み取りリクエストがないかも監視しましょう。

補足: 悪用観測状況

現時点でCISA KEV登録はありますが、ランサムウェア等による悪用観測はありません。GitHubやExploit Databaseにも公開PoCや悪用ツールは見つかっていません。

したがって、実運用では確認や対応を行うべきですが、緊急度は高くありません。

補足: CVSSメトリクス詳細

• 攻撃元 (AV: Attack Vector): NETWORK（ネットワーク経由で攻撃可能）
• 攻撃複雑度 (AC: Attack Complexity): LOW（簡単に攻撃が可能）
• 必要権限 (PR: Privileges Required): NONE（認証や権限は不要）
• ユーザ操作 (UI: User Interaction): NONE（利用者の操作不要）
• スコープ (S: Scope): UNCHANGED（同じ権限範囲内の影響）
• 機密性影響 (C: Confidentiality Impact): LOW（一部の情報が漏洩）
• 完全性影響 (I: Integrity Impact): NONE（改ざんはなし）
• 可用性影響 (A: Availability Impact): NONE（サービス停止なし）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自社環境の対象バージョンを確認し、STEP 4でベンダーアドバイザリに基づくパッチ適用を行い、STEP 5で修正適用を検証してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークレベルでTCPポートアクセス制限を強化し、外部からの不要アクセスを遮断してください。公式の暫定対応は未提示です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. syslogやアクセスログで不審な外部からの読み取りアクセスを監視し、Oracleやミドルウェアの監査ログを定期的に確認してください。悪用ツールなどは現時点で未確認です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは理論的な深刻度で、EPSSは「実際に悪用される確率」を示します。両方参照することで対応優先度を正確に判断できますが、本CVEはEPSSデータ未提供です。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle CoherenceやOracle Fusion Middlewareには過去にもネットワーク経由の認証回避や情報漏洩につながる脆弱性が報告されています。関連するCWEは明示なしですが、アクセス制御不備がよくある原因です。

参考文献

• NVD – CVE-2026-60237
• Oracle Security Alerts (2026年7月)
• JVN iPedia – CVE-2026-60237
• CISA KEV Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧