【高】CVE-2026-60261 Oracle Coherence RCE脆弱性で狙われるAI Security基盤対策ガイド

結論

• 危険度: High (CVSS 8.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60261はOracle Fusion MiddlewareのOracle Coherence製品にある脆弱性で、攻撃者は認証なしに物理的に近いネットワークから攻撃し、Oracle Coherenceを完全に乗っ取れます。LLMゲートウェイ運用者やAIインフラ担当者にとって最優先で対応すべき問題です。

やさしく説明すると

この脆弱性はまるで「鍵がないドア」が社内ネットワークの特定セグメントに存在するようなものです。攻撃者は近くにいればそのドアを開けて入り込み、システムを完全に乗っ取れます。物理的に接続された通信経路にいることが条件ですが、もしその環境を運用していれば大問題です。結果として、AIの大事なデータや動作に影響が出る可能性があります。

技術的な原因

この脆弱性はCWE分類は明示されていませんが、リモート認証不要で隣接ネットワークから攻撃可能（AV:A、PR:N）であり、攻撃複雑度が低い（AC:L）ことから、権限管理やアクセス制御の設計ミスによるものと推察されます。具体的にはOracle Coherenceのコアコンポーネントの通信セグメントで十分な認証や検証が行われていないため、攻撃者が悪用可能です。

影響を受けると何が困るか

• AI GatewayやAgentフレームワークの制御奪取による、LLM運用停止や誤動作
• 顧客データを含むLLMのコンテキスト情報の窃取や改ざん
• モデルやRAG（Retrieval-Augmented Generation）で用いる外部データの改変
• プロンプトインジェクションを介したエージェント乗っ取り
• APIキーや認証情報の漏洩による追加請求コストの発生
• テナント間の情報隔離破壊による情報漏洩
• インフラ全体への横展開攻撃リスク増大
• AI コーディングツール（Cursor、Cline、Copilotなど）やIDE拡張のリモート操作被害
• .envファイルやその他シークレット情報の流出

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【高】

判断根拠

• CVSS v3.1 スコアは8.8（High）で、機密性・完全性・可用性に全て高い影響を与えます。実務的には重大な乗っ取りリスクです。
• EPSSスコアは未提供で、悪用予測のデータはありません。
• ランサムウェアによる悪用観測は不明（Unknown）で既知の悪用報告なし。
• 公開PoCコードやExploit Databaseに登録はありません。
• 攻撃は隣接ネットワーク（物理的に近いネットワーク）上から認証不要で実行でき、攻撃複雑度も低いため環境によっては容易に悪用可能です。

誰が動くべきか

• Oracle Coherenceを使うAI GatewayやLLM Proxyのインフラ運用・SREチーム
• Agentフレームワーク（LangChainやAutoGenなど）連携のAIインフラ管理者
• RAGパイプラインやLLMコンテキスト管理者
• バイブコーダー開発者で、Oracle Coherence製品を間接的にでも利用している場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Oracle Coherence インストール環境

# Oracle Coherence のバージョンを確認する一般的コマンド例（環境によって異なるため参考）
coherence-version --version
# またはパッケージ管理システムで確認
rpm -q oracle-coherence
dpkg -l | grep coherence

出力例:

oracle-coherence-14.1.1.0.0

判定: バージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0の場合は対象です。

設定確認

この脆弱性は設定依存ではありません。対応バージョンを使用していれば脆弱です。

Nucleiテンプレートでの検出

2026年7月時点で公開Nucleiテンプレートは提供されていません。ベンダーのバージョン確認で対応してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherence環境アップグレード例

# Oracle Coherenceのアップグレードはベンダーの手順に従う必要があります。例:
# 1. 最新のパッチセットまたはセキュリティアップデートパッケージを公式サイトからダウンロード
# 2. アップグレード手順に沿って適用
# 以下は一例、実際の環境に合わせて必ず公式ドキュメントを参照してください
sudo systemctl stop coherence
tar xvf oracle-coherence-patch.tar.gz -C /opt/oracle/coherence
sudo systemctl start coherence

注意: パッチ適用前に必ず現行環境のバックアップを取得してください。ステージング環境で動作検証を行い、停止期間や影響範囲を計画しましょう。

パッチ即時適用ができない場合の暫定対応

公式からの暫定対応は提示されていません。物理的ネットワークセグメントへのアクセス制限や通信制御を強化して攻撃者の侵入経路を遮断してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行し、修正済みのバージョンにアップグレードされていることを確認してください。

期待される出力

Linux / Oracle Coherence

coherence-version --version

出力例:

oracle-coherence-15.1.1.1.0

判定: バージョンが 15.1.1.1.0 以上またはベンダー指定の修正版ならOK。

追加で確認すべきこと

• ベンダー提供のセキュリティツールで再度検査する
• システムログに不審な通信・アクセスがないか監視を継続する
• 脆弱性に関連するネットワークログやアクセス制御ログの解析を実施する

補足: 悪用観測状況

現時点でGitHubやExploit DatabaseでのPoCは公開されていません。CISA KEVカタログにも登録されていないため、悪用観測は公式にはありません。ただしCVSSが高いため、実務上は早めの対策が望まれます。

補足: CVSSメトリクス詳細

• 攻撃元 (AV: Attack Vector): ADJACENT_NETWORK（隣接ネットワーク） – 攻撃は物理的に近いネットワークから可能
• 攻撃複雑度 (AC: Attack Complexity): LOW（低い） – 攻撃は簡単にできる
• 必要権限 (PR: Privileges Required): NONE（不要） – 権限なしで攻撃可能
• ユーザ操作 (UI: User Interaction): NONE（不要） – ユーザの操作を必要としない
• スコープ (S: Scope): UNCHANGED（変更なし） – 影響範囲は同一の権限内
• 機密性影響 (C: Confidentiality): HIGH（高い） – 情報漏洩の可能性大
• 完全性影響 (I: Integrity): HIGH（高い） – データ改ざんの可能性大
• 可用性影響 (A: Availability): HIGH（高い） – サービス停止などの被害大

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で自分の環境のOracle Coherenceバージョンを確認してください。対象ならベンダーの修正版にアップグレードし、STEP 5で適用を確認することが最低限必要です。

Q. パッチが適用できない場合、どうすればよいですか？

A. 物理的に通信セグメントへのアクセス制限を強化してください。ファイアウォールやネットワーク分離で侵入経路を断つほか、関連サービスの利用停止も検討してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 攻撃の痕跡はOracle Coherenceのログやネットワークトラフィックから調査します。現時点では公式のIOC（侵害指標）は公開されていませんが、不審なアクセス記録があれば早急に解析してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは理論的な深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両方を確認することで対応優先順位が正確になります。今回のCVEはEPSSデータ未提供です。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle CoherenceやOracle Fusion Middleware関連で過去にも認証不要で権限昇格や乗っ取りが可能な脆弱性が報告されています。同じ通信制御や認証チェック欠落による問題が多いです。

参考文献

• NVD – CVE-2026-60261
• Oracle セキュリティアラート 2026年7月
• JVN iPedia – CVE-2026-60261
• CISA KEV カタログ
• GitHub PoC検索 – CVE-2026-60261

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧