【最重大】CVE-2026-60219 Oracle Coherenceにおける認証不要のRCE脆弱性解説とAI Security対策手順

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60219はOracle Fusion MiddlewareのOracle Coherence製品で発見された脆弱性です。攻撃者は認証なしでネットワーク経由でOracle Coherenceを乗っ取れます。LLMゲートウェイやAgentic環境の運用者にとって最優先で対応が必要です。

やさしく説明すると

例えるなら、あなたの家の玄関の鍵が壊れている状態です。誰でも合鍵なしで自由に出入りできてしまいます。この脆弱性はネットワーク上の誰でも侵入できるため、重要なデータやサービスを丸ごと奪われる危険があります。AIやLLMを使うシステムがこの鍵を使っていると、悪用されやすい状況と言えます。

技術的な原因

CVE-2026-60219は、「認証を必要としないネットワークサービスの不適切なアクセス制御」に起因します。CWE（共通脆弱性識別基準）で分類されるとすれば、認証不備やアクセス制御不良に関わるCWEが関連しますが、今回特定のCWEは公式に提示されていません。攻撃元はネットワーク経由（AV:NETWORK）、認証不要（PR:NONE）で直接攻撃可能です。

影響を受けると何が困るか

• APIキー(OpenAI/Anthropic等)など認証情報の漏洩
• LLMのコンテキストデータの窃取（顧客のプロンプトや機密情報含む）
• Agent Frameworkを乗っ取り、悪意あるLLM操作を行われる可能性
• RAG（Retrieval-Augmented Generation）データやモデルの改ざん
• AI GatewayやLLM Proxyが不正操作されて請求コスト爆増の危険
• テナント間の情報漏洩（マルチテナント環境の場合）
• CursorやCline、CopilotなどAIコーディングツールが不正アクセスを受ける
• IDE拡張のリモート操作やローカルファイル読み取り・任意コード実行
• .envやその他認証情報ファイルの漏洩によるAI駆動開発環境の根本的な崩壊

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSSスコアは9.8のCritical。実務的にはほぼ最高レベルの危険度です。
• EPSSスコアは現時点で提供なし。ただしCVSSの高さから潜在的に悪用可能性は極めて高いです。
• ランサムウェア悪用の確認は現段階で不明です。
• 公開PoCやExploitは現時点で存在しません。
• 攻撃はネットワーク経由で認証不要、ユーザ操作も不要なため非常に容易に悪用可能です。
• ベンダーからの修正版情報は未公開で、詳細な緩和策や回避策も不明です。

誰が動くべきか

• Oracle Fusion Middlewareを利用し、特にOracle Coherenceを含むLLM ProxyやAI Gatewayを運用する運用者・SRE・SecOpsチーム
• Agentic設計を使うフレームワーク開発者や環境管理者
• CursorやCline、GitHub Copilot、Claude CodeなどのAI駆動開発環境にOracle Fusion Middlewareを組み込むバイブコーダー開発者
• LLMに絡むインフラ全般を管理するMLインフラやRAGパイプライン保守者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux/Unix システム (Oracle Coherence CLI)

$ coherenceserver -version

出力例:

Oracle Coherence Version 14.1.1.0.0

判定: 出力に 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0 が含まれていれば脆弱です。

Java プロセスのバージョン確認

ps aux | grep coherence

出力例:

java -Dcoherence.version=14.1.2.0.0 ... com.tangosol.coherence

判定: バージョンを確認し対象範囲であれば脆弱です。

設定確認

本脆弱性は設定依存ではありません。バージョンが対象であれば脆弱です。

Nucleiテンプレートでの検出

現時点で公開Nucleiテンプレートは提供されていません。ベンダーの脆弱性検出ツールやバージョン確認による検査を推奨します。

STEP 4: 修正を適用する

パッチ適用

Oracle社の公式アドバイザリにて修正版のリリースを確認してください。典型的には以下の手順でアップグレードを実施します。

Linux/Unix（Oracle公式パッチ適用）

# Oracle提供のパッチ適用スクリプトを取得・実行（実際のファイル名はベンダー指示に従う）
$ wget https://oracle.com/security/patches/coherence_patch.tar.gz
$ tar xzf coherence_patch.tar.gz
$ ./apply_patch.sh

判定: パッチ適用後にバージョンコマンドでバージョンが最新になれば修正済です。

注意: パッチ適用前に必ずバックアップを取得してください。ステージング環境での検証を実施し、本番適用時にはメンテナンス時間の確保を行いましょう。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定的な設定変更や回避策は発表されていません。影響を受けるサービスは可能な限りネットワークから隔離し、不要なポートやサービスを閉じることを推奨します。

STEP 5: 修正されたことを確認する

STEP 3 で実行したバージョン確認コマンドを再度実行してください。

期待される出力

Linux/Unix システム (Oracle Coherence CLI)

$ coherenceserver -version

出力例:

Oracle Coherence Version 15.2.0.0.0

判定: バージョンが 15.2.0.0.0 以上であれば修正済みです。

追加で確認すべきこと

• ベンダー提供のセキュリティツールやスキャナで再検査を行う
• ログに異常な管理操作や不正な外部アクセスの形跡がないか監視する

補足: 悪用観測状況

現時点でCISA KEVカタログには本CVEは未登録です。ランサムウェアグループによる悪用情報も確認されていません。公開されているPoCコードやエクスプロイトも存在しません。ただし、CVSS 9.8の高リスクであるため早急な対処を推奨します。

補足: CVSSメトリクス詳細

• AV (Attack Vector): NETWORK（ネットワーク経由で攻撃可能）
• AC (Attack Complexity): LOW（攻撃条件が簡単）
• PR (Privileges Required): NONE（権限不要）
• UI (User Interaction): NONE（ユーザ操作不要）
• S (Scope): UNCHANGED（攻撃の影響範囲は変わらない）
• C (Confidentiality): HIGH（情報漏洩のリスク大）
• I (Integrity): HIGH（完全性の損失大）
• A (Availability): HIGH（サービス停止のリスク大）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分の環境のバージョンを確認し、脆弱であればSTEP 4の修正を適用してください。具体的なバージョンやコマンドは本文に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 差し迫った暫定対応は公式に発表されていません。最低でもネットワークから該当サービスを隔離し、アクセス制御を強化してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダー提供のIOC（侵入事例指標）やログ監視を活用してください。異常な管理操作や外部アクセス試行のログがないか確認しましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両方参照すると対応優先度がより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Coherence製品には過去に認証不備やネットワークアクセス制御不良に関わる脆弱性が報告されています。類似脆弱性の情報はベンダー公表情報を参照してください。

参考文献

• NVD (National Vulnerability Database)
• MITRE CVE
• JVN iPedia
• Oracle公式セキュリティ通知

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧