【高】CVE-2026-60245 Oracle Coherenceの認証バイパス脆弱性 AI Security対策を強化するバイブコーダー必読の対応手順

結論

• 危険度: High (CVSS 7.2)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60245はOracle Fusion MiddlewareのOracle Coherence製品で、攻撃者が認証済みかつ内部ネットワークにアクセスできる場合に、重要データの不正作成・削除・改ざんが可能になる脆弱性です。LLMゲートウェイやAIインフラ運用者にとって最優先で対処すべき問題です。

やさしく説明すると

この脆弱性は「鍵のかかった部屋の鍵穴が非常に特殊で、限られた人だけが侵入できる可能性がある」ようなものです。攻撃者は内部ネットワークに入り、他の誰かが作業する間にこっそり不正操作を行えます。許可された人でも悪意を持てば、重要なデータを勝手に書き換えられます。

技術的な原因

この脆弱性は「権限の維持管理不備（Low Privilege Escalation）」に該当します。具体的にはCWE分類は未発表ですが、実務的には権限の低いユーザーがログオンした状態で不正に重要データの作成・改変・削除が可能になります。複雑性が高く、攻撃には別の人の操作（ユーザ操作）が必要で、範囲はOracle Coherence内に留まらず関連製品にも影響が及ぶ可能性があります（スコープ変更）。

影響を受けると何が困るか

• Oracle Coherence上の重要データを攻撃者が不正変更や削除できる
• AI/LLMインフラでAPIキーや認証情報が含まれる重要データの漏洩や改ざん
• LLMコンテキスト情報が窃取されて顧客データが漏れるリスク
• エージェントフレームワークの乗っ取りにつながるプロンプト操作
• AI GatewayやAgenticシステムの障害や不正操作リスク増大
• インフラ全体への横展開でAIサービス停止やデータ改ざんの拡大
• AIコーディングツール(Cursor/Cline等)利用時の安全保障悪化

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコア7.2はHighレベル。ただし攻撃は複雑で、攻撃者がネットワークに直接アクセスし、かつ他者のユーザ操作が必要なため即時重大リスクではありません。
• EPSS（悪用予測スコア）データは未提供であり、現時点で悪用観測や公開PoCもありません。
• ランサムウェアグループによる悪用情報は公表されていません。
• 攻撃条件は「ローカルネットアクセス」「低権限アカウント所持」「他者のユーザ操作要求」と高めで、ネット越しの即時攻撃は難しいと推定されます。

誰が動くべきか

• Oracle Coherenceを利用するAIインフラ運用者・SRE
• Agentフレームワーク開発者、特にOracle Fusion Middlewareを利用するシステム担当者
• LLM Gatewayを含むAIサービス全般の運用チーム
• バイブコーダー開発者でOracle Coherenceをバックエンドに使う場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（Oracle Coherence CLI/環境）

coherence -version

出力例:

Oracle Coherence 14.1.2.0.0

判定: 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0のいずれかなら脆弱。それ以外は安全

設定確認

この脆弱性は設定依存ではなくバージョン依存です。対象バージョンであれば脆弱です。

STEP 4: 修正を適用する

パッチ適用

Oracle社の公式パッチとアップデートをベンダーアドバイザリで必ず確認してください。以下は代表的な手順例です。

Oracle Coherence (Linuxサーバ)

# インストールディレクトリに移動
cd /opt/oracle/coherence
# アップデートパッケージを適用
./update_coherence.sh --version 15.1.2.0.0

実際の適用方法はベンダー公開資料を必ず参照してください。

注意: 適用前に必ず全データと設定のバックアップを取得してください。変更はステージング環境で検証し、本番環境ではダウンタイム計画を立ててください。

パッチ即時適用ができない場合の暫定対応

現時点でOracle社からの公式暫定措置は提示されていません。アクセス制御強化や内部ネットワーク制限などでリスクを軽減してください。

STEP 5: 修正されたことを確認する

STEP 3で行ったバージョン確認コマンドを再度実行してください。

期待される出力

Linux（Oracle Coherence CLI/環境）

coherence -version

出力例:

Oracle Coherence 15.1.2.0.0

判定: バージョンが 15.1.1.0.0 より上（例: 15.1.2.0.0）なら安全

追加で確認すべきこと

Oracle社の提供する検出ツールやパッチ検証ツールを利用し、脆弱性が除去されたことを確認してください。不審なログや異常アクセスの有無も必ずチェックしてください。

補足: 悪用観測状況

現時点でCISA KEVカタログには登録されていません。GitHub上にも公開PoCはありません。公開されている証拠はなく、攻撃が広まっている報告もありません。そのため実働中の悪用は確認されていません。

補足: CVSSメトリクス詳細

• AV（攻撃元）： Local（ローカルネットワーク） – 攻撃者は直接Oracle Coherenceが実行される環境にアクセスが必要
• AC（攻撃複雑度）： High（高い） – 攻撃には高度な条件や操作が必要
• PR（必要権限）： Low（低い） – 低権限ユーザーのログインで攻撃可能
• UI（ユーザ操作）： Required（必要） – 順応者以外のユーザ操作が必要
• S（スコープ）： Changed（変更） – 攻撃により他の製品にも影響が及ぶ可能性あり
• C（機密性影響）： High（高い） – 機密データ漏洩の可能性大
• I（完全性影響）： High（高い） – データ改ざんの可能性大
• A（可用性影響）： None（影響なし） – サービス停止には繋がらない

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自環境のバージョンを確認し、脆弱であればSTEP 4でパッチを適用してください。STEP 5で適用確認を必ず行うことが重要です。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークアクセス制限や管理者権限保持者の権限監査を強化し、内部操作のログ監視を強めてください。公式の暫定対応は公開されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式提供の検出ツールがないため、アクセスログやシステムログを調査し未知の改変や不審操作がないか確認してください。CISA KEVには未登録で悪用報告もありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の危険度を示し、EPSSは「実際に悪用される可能性」を示します。この2つを組み合わせると対応優先度がより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じくOracle Fusion Middleware製品群には複数の脆弱性報告がありますが、本件が特にOracle Coherenceコアコンポーネントの重要データ改ざん問題に該当します。最新の情報は公式情報源でご確認ください。

参考文献

• NVD – CVE-2026-60245
• Oracle July 2026 Critical Patch Update
• JVN iPedia – CVE-2026-60245
• CISA Known Exploited Vulnerabilities Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧