CVE-2026-60260 Oracle Coherenceの認可不要な機密情報漏洩脆弱性対策 AI Security担当者必見の実践ガイド

結論

• 危険度: Medium (CVSS 5.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60260はOracle Fusion MiddlewareのOracle Coherenceで発見された脆弱性です。攻撃者は認証なしでネットワーク経由でアクセスし、データの一部を不正に読み取れます。LLMゲートウェイやAIインフラ運用者にとって早急な確認が必要な問題です。

やさしく説明すると

たとえば、会社の重要書類を入れた金庫が「鍵がかかっていなかった」状態を想像してください。攻撃者は誰でもその金庫から一部の書類を見られます。Oracle Coherenceは大規模なデータを管理する仕組みで、この脆弱性はその「鍵がかかっていなかった」状態と似ています。しかも、特別な操作や認証なしでアクセス可能です。

技術的な原因

この脆弱性は、Oracle Fusion MiddlewareのOracle Coherenceコアコンポーネントに存在します。本質的には不適切なアクセス制御の問題です。CWE（共通脆弱性分類）には明示されていませんが、技術的には「Unauthorized Information Access（認証なし情報漏洩）」に該当します。攻撃はネットワーク経由（HTTP）で行われ、特権不要で容易にアクセスされます。

影響を受けると何が困るか

• AI/LLMゲートウェイやAgentフレームワークで利用するデータの一部を攻撃者が不正に読み取れる
• 顧客の機密情報やLLMプロンプトの一部が漏えいし、プロンプトインジェクションや情報悪用リスクが増大する
• AI駆動開発の現場で利用するCursorやCline、CopilotなどのIDE拡張の連携データが漏れる可能性がある
• インフラ全体のセキュリティ信頼性が低下し、さらなる攻撃への足がかりを与えかねない

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中（通常メンテナンスで対応）

判断根拠

• CVSS v3.1の基本スコアは5.3でMediumレベル。これは「攻撃は容易だが影響は機密性に限定的で深刻度中程度」という意味です。
• EPSS（悪用される可能性スコア）は提供されていません。つまり、現時点で悪用予測データはありません。
• ランサムウェアによる悪用観測はありません。
• 公開されているPoCやExploitは現状0件です。実証コードは存在しません。
• CVE説明の通り、攻撃者はネットワーク経由で認証不要にアクセス可能ですが、影響対象は読み取り範囲に留まります。

誰が動くべきか

• Oracle Coherenceを利用しているAI/LLMインフラチーム
• AI GatewayやAgentフレームワークを本番で運用しているSRE/SecOpsチーム
• AI駆動開発でOracle Fusion Middlewareをカスタム利用している開発者（バイブコーダー等）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Oracle Coherence 環境 (例)

# Coherenceのバージョンは通常インストールディレクトリ下のmanifest.mf等で確認します。
cat $ORACLE_HOME/coherence/lib/coherence.jar/META-INF/MANIFEST.MF | grep 'Implementation-Version'

出力例:

Implementation-Version: 14.1.1.0.0

判定: 出力されたバージョンが 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0 のいずれかに該当するなら脆弱です

設定確認

この脆弱性は特定の設定依存ではありません。バージョンが対象範囲内であれば脆弱です。

Nucleiテンプレートでの検出

本CVEに対応した公開Nucleiテンプレートは提供されていません。検出はバージョン確認が実務的な手段です。

STEP 4: 修正を適用する

パッチ適用

Oracle Fusion Middleware 環境

# Oracleのセキュリティパッチ通知を確認し、修正版のCoherenceにアップグレードしてください
# 具体的な手順はベンダー公式アラートを参照し、運用手順に従って適用してください

注意: パッチ適用前に必ずバックアップを取得し、ステージング環境で動作確認を行ってください。アップデートに伴うサービス停止時間を計画してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応は提示されていません。ネットワークレベルでのアクセス制限を強化することが有効です。

STEP 5: 修正されたことを確認する

STEP 3で使用したバージョン確認コマンドを再度実行してください。

期待される出力

Linux / Oracle Coherence 環境 (例)

cat $ORACLE_HOME/coherence/lib/coherence.jar/META-INF/MANIFEST.MF | grep 'Implementation-Version'

Implementation-Version: 15.2.x.x.x (パッチ適用後の安全なバージョン)

判定: バージョンが 15.1.1.0.0 より新しいかパッチ適用バージョンであれば問題ありません。

追加で確認すべきこと

監査ログで脆弱性期間中の不審な読み取りアクセスがないか確認してください。Nucleiテンプレートを活用できる場合は、再スキャンも推奨します。

補足: 悪用観測状況

現時点でCISAやNVDのデータベースに悪用報告やランサムウェアによる攻撃観測は登録されていません。公開PoCも存在しないため、実世界での悪用は確認されていません。

補足: CVSSメトリクス詳細

• AV（Attack Vector / 攻撃元）: Network（ネットワーク経由）
• AC（Attack Complexity / 攻撃複雑度）: Low（低い）
• PR（Privileges Required / 必要権限）: None（不要）
• UI（User Interaction / ユーザ操作）: None（不要）
• S（Scope / 影響範囲）: Unchanged（変更なし）
• C（Confidentiality / 機密性影響）: Low（低い）
• I（Integrity / 完全性影響）: None（なし）
• A（Availability / 可用性影響）: None（なし）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象バージョンか確認し、STEP 4でベンダー公式パッチを適用することです。具体的なバージョン確認コマンドは記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークアクセス制限を強化し、不正な外部アクセスを防いでください。公式の暫定対応はないため、早期のパッチ適用を目指しましょう。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. Oracle Fusion Middlewareの監査ログを確認してください。不審なHTTPリクエストや予期しない読み取りアクセスの有無を調査します。

Q. なぜEPSSスコアが重要なのですか？

A. EPSSは「実際に悪用される確率」を示します。CVSSが脆弱性の深刻度を評価するのに対し、EPSSは攻撃の現実的リスク判断に役立ちます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様にOracle Fusion Middlewareの認証なし情報漏洩問題は過去にも報告されています。CWE分類は明示されていませんがアクセス制御不備が共通原因です。

参考文献

• Oracle セキュリティアラート 2026年7月
• NVD – CVE-2026-60260
• JVN iPedia – CVE-2026-60260（国内情報）
• CISA KEV カタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧