【高】CVE-2026-60309 Oracle Coherenceのリモートコード実行RCE脆弱性を突くAI Security対策ガイド

結論

• 危険度: High (CVSS 8.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60309はOracle Fusion MiddlewareのOracle Coherenceコンポーネントに関する脆弱性です。攻撃者は認証不要で同一物理ネットワークからOracle Coherenceを乗っ取れます。LLMゲートウェイやAIインフラの運用者にとって最優先対応が必要です。

やさしく説明すると

想像してください。会社の大事なデータを管理する倉庫の玄関ドアに鍵がなく、同じ建物内ならだれでも簡単に侵入できる状態です。今回の脆弱性はそのような状態で、攻撃者は特別な許可なしに中に入り込んで情報を盗んだり、改ざんしたりできます。特にAIやLLMのプラットフォームでこの倉庫は重要なので、運用チームはすぐに対策を検討すべきです。

技術的な原因

CVE-2026-60309はOracle Coherenceの通信プロトコルに関する脆弱性です。攻撃者は「ADJACENT NETWORK（隣接ネットワーク）」から物理的に接続された通信セグメントを通じて攻撃可能です。攻撃複雑度は低く、認証（PR:N）も不要でユーザー操作もいりません（UI:N）。

この結果、CWE分類は明示されていませんが、通信経路の認証欠如やアクセス制御の不備により、機密性（C:H）、完全性（I:H）、可用性（A:H）に重大な影響を与えます。つまり通信の安全性が破られ、システム全体が攻撃者に掌握され得ます。

影響を受けると何が困るか

• 社内ネットワークにいる攻撃者によりOracle Coherenceが乗っ取られる
• AI GatewayやLLM Proxyの重要データが漏洩・改ざんされる
• RAG（Retrieval-Augmented Generation）データやモデル情報の改ざんリスク
• 請求コストの不正増大やLLMサービス停止による業務中断
• Agenticフレームワークの乗っ取りによるエージェント動作の悪用
• バイブコーダー開発時の環境侵害、AIコーディングツール（Cursor/Cline/Copilot等）経由でのリスク拡大
• .envや認証情報の漏洩、SRE/SecOpsチームの運用リスク増加

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは8.8で「High」レベル。これは「重大な脆弱性で速やかな対応が推奨される」ことを示す。
• EPSS（悪用予測スコア）は現状データなし。ただしCVSSスコアの高さから注意が必要。
• ランサムウェアグループによる悪用の確認は現状不明（Unknown）。
• 公開されたPoCやExploitは現時点で存在しない（0件）。したがって攻撃の具体的な武器化はまだ見られない。
• 悪用には同一物理ネットワーク内のアクセスが必要であり、認証不要かつユーザー操作不要。条件自体は制限的だがアクセスできれば攻撃は容易。

誰が動くべきか

• Oracle CoherenceをAI GatewayやLLM Proxy構成で利用しているAI/LLMプラットフォーム運用チーム
• Agent（エージェント）フレームワーク開発者およびSRE/SecOpsチーム
• LLMアプリケーションを物理またはネットワークで運用・保守するMLインフラ担当
• バイブコーダー開発者やAIコーディングツール（Cursor/Cline/Copilot等）ユーザのうち、Oracle Coherenceデータや通信を利用している場合

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Unix環境（bash）

coherence -version

出力例:

Oracle Coherence Release 14.1.1.0.0 Build 12345

判定: 出力に脆弱バージョン（12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0）が含まれるなら脆弱。修正版か確認してください。

補足: Oracle Coherenceのバージョン確認は通常、このコマンドや管理インタフェースで可能です。環境により異なるため、ベンダー提供の手順も必ずご確認ください。

設定確認

本脆弱性は設定依存ではありません。対象バージョンを利用している時点で脆弱と判断してください。

Nucleiテンプレートでの検出

現時点で公開Nucleiテンプレートは存在しません。検出は上記バージョン確認にて実施してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherence環境（一般手順例）

# 例: Oracleの公式CPUから提供されるパッチを適用する
# ベンダー公式サイトからパッチファイルを取得
wget https://oracle.com/patch/patchfile.zip
unzip patchfile.zip
./applyPatch.sh

判定: アップデート後にバージョンが修正版に上がっていればOK

注意: パッチ適用前に必ず稼働中のサービスをバックアップし、ステージング環境で検証してください。稼働中にサービス停止が必要な場合はダウンタイム計画を立ててください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応や回避策は提示されていません。可能な限り物理ネットワークレベルでのアクセス制御を強化し、Oracle Coherenceが動作する通信セグメントへの不要なアクセス遮断を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを、修正適用後に再度実行してください。

期待される出力

Linux / Unix環境（bash）

coherence -version

出力例:

Oracle Coherence Release 15.1.2.0.0 Build 22345

判定: バージョンが 15.1.2.0.0 以上、またはベンダーが指定する修正版なら問題ありません。

追加で確認すべきこと

• ログを監視し、脆弱性を狙った不審アクセスや攻撃痕跡がないかを確認する
• 公開Nucleiテンプレートが登場した場合は念のため再検査を行う
• 運用チームはアンチウイルスやIDS/IPSログも確認하며継続的に監視を行う

補足: 悪用観測状況

現時点でCISA KEVカタログに登録されておらず、ランサムウェアグループによる悪用も確認されていません。GitHub上のPoCや攻撃コードも存在しません。つまり、攻撃の実際の武器化はまだ見られません。ただし、高いCVSSスコアと認証不要である点から、隣接ネットワークアクセスが可能な環境では早急な対応が推奨されます。

補足: CVSSメトリクス詳細

• AV（攻撃元、Attack Vector）: Adjacent Network（隣接ネットワーク）。攻撃者は物理的に接続された同一ネットワークセグメントから攻撃可能。
• AC（攻撃の複雑さ、Attack Complexity）: Low（低）。攻撃実行のために特別な条件が不要。
• PR（必要な権限、Privileges Required）: None（不要）。認証や権限なしで攻撃可能。
• UI（ユーザ操作の有無、User Interaction）: None（不要）。ユーザー操作なしで攻撃可能。
• S（スコープ、Scope）: Unchanged（変更なし）。攻撃対象は同一セキュリティコンテキスト内。
• C（機密性への影響、Confidentiality）: High（高）。重要情報の漏洩につながる。
• I（完全性への影響、Integrity）: High（高）。データ改ざんが可能。
• A（可用性への影響、Availability）: High（高）。サービス停止などの妨害可能。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分の環境が対象か確認し、STEP 4で最新版にアップグレードしてください。バージョンとコマンドは本文内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、物理ネットワークでのアクセス制限強化を行い、Oracle Coherenceが稼働するネットワークを分離・隔離してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダー提供の検知ツールや不審ログの監視が有効です。攻撃は認証不要なので通信ログの異常を重点的に調査してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSが脆弱性の深刻度を示す一方、EPSSは「実際に悪用される可能性」を示します。両方を確認することで優先的な対応判断に役立ちます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じOracle Fusion MiddlewareやCoherenceの過去脆弱性には通信認証の欠如による侵害が含まれます。CWEは特定されていませんが通信関連のアクセス制御不備として扱われることが多いです。

参考文献

• NVD – CVE-2026-60309
• GitHub Advisory Database – GHSA-xhjx-g246-395x
• Oracle 公式セキュリティアラート (2026年7月)
• CISA KEV カタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧