【高】CVE-2026-60223 Oracle Coherenceの未認証DoS脆弱性を狙う攻撃とAI Security視点の防御策ガイド

結論

• 危険度: High (CVSS 7.5)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60223はOracle Fusion MiddlewareのOracle Coherence製品にある脆弱性です。攻撃者はネットワーク経由で認証なしにアクセスし、サービスを停止させることができます。AI Security運用者やLLMゲートウェイ運用者にとって最優先で対応すべき脆弱性です。

やさしく説明すると

この脆弱性は「玄関の鍵が無防備で、誰でも自由に中に入れる状態」と似ています。攻撃者は合鍵なしで中に入り、サービスの電源を切るような動作を繰り返せます。結果として、サービスが落ちてしまい、AIの応答や処理が停止してしまいます。

技術的な原因

この問題はCWEの特定はありませんが、認証なしのネットワーク経由アクセス(AV:N)を許す脆弱性です。攻撃の難易度は低い(AC:L)ため、容易に悪用が可能です。ユーザー操作は不要(UI:N)で、権限も不要(PR:N)です。影響範囲は可用性のみ(A:H)で、機密性と完全性には影響しません。

影響を受けると何が困るか

• AI GatewayのOracle Coherenceコンポーネントが停止し、LLMアプリケーションが利用不能になる
• AI AgentやRAGパイプラインで、重要なデータの処理遅延または停止を招く
• テナント間でのデータ処理にも影響し、サービス全体の信頼性が低下する
• AIコーディングツールのバックエンドとして利用している場合、開発支援が中断される
• ネットワーク経由の悪用により、SRE/SecOpsチームにて早急な復旧対応が必要となる

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは7.5 (High)。可用性に重大影響を及ぼすため運用中断リスクが高い。
• EPSSスコアは未提供。現在悪用の公開報告やPoCはないため観察フェーズ。
• ランサムウェアによる悪用の報告は未確認。
• 公開PoCは存在しない。攻撃はネットワーク経由かつ認証不要で可能なため、悪用されやすい。
• 認証不要で、攻撃複雑度は低く、ユーザー操作も不要のため、サービス停止リスクは高い。

誰が動くべきか

• Oracle Coherenceを使うAI/LLMシステム運用者・SREチーム
• AI GatewayやAgenticフレームワーク構築チーム
• Oracle Fusion Middlewareを基盤にしたAIシステム開発者
• Cursor/Cline/GitHub Copilot環境にOracle Coherence連携がある場合のバイブコーダー開発者
• LLM ProxyやMCP Server等のインフラチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Unix（Oracle Coherence バージョン確認）

# Oracle Coherenceのインストールディレクトリでversionコマンドを実行
$ ${COHERENCE_HOME}/bin/coherence version

出力例:

Product: Oracle Coherence
Version: 14.1.1.0.0
Build: 2026-06-10

判定: 出力されたバージョンが 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0 のいずれかなら脆弱。最新の修正版が適用されていれば安全。

設定確認

本脆弱性は設定依存ではなく、対象バージョンであれば脆弱です。設定変更による回避は公式に提示されていません。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートはありません。検出はバージョン確認で実施してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherenceの最新パッチやアップグレードは公式のOracle Fusion Middlewareセキュリティアラートを参照してください。代表的なアップグレード手順例を示します。

Linux (Oracle Coherenceアップグレード例)

# Oracle Fusion Middlewareのアップグレードパッケージをダウンロードし、アンインストーラ停止後に適用
$ systemctl stop coherence
$ rpm -Uvh oracle-coherence-15.1.1.0.1.rpm
$ systemctl start coherence

判定: 最新版パッケージ適用後は脆弱性が解消される

注意: アップグレード前に必ずサービスのバックアップを取得し、ステージング環境で動作検証を行ってください。運用中のダウンタイム計画も必須です。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応策は提示されていません。緊急時はネットワークアクセス制限やファイアウォール設置、Oracle Coherenceの非公開ポートを外部から隔離することを検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実施したバージョン確認コマンドをもう一度実行し、最新パッチや修正済みバージョンであることを確認します。

期待される出力

Linux / Unix（Oracle Coherence バージョン確認）

$ ${COHERENCE_HOME}/bin/coherence version

出力例:

Product: Oracle Coherence
Version: 15.1.1.0.1
Build: 2026-07-01

判定: バージョンが 15.1.1.0.1 など、脆弱性を修正した最新以上ならOK

追加で確認すべきこと

• ログに異常な接続試行やサービス停止の痕跡がないか確認すること
• Oracleの公式アップデート通知やCVE状況の追跡を定期的に行うこと

補足: 悪用観測状況

2026年7月現在、CVE-2026-60223の公開されたPoCやExploitは存在しません。ランサムウェアによる悪用報告もまだ確認されていません。そのため、未知の攻撃に備え今後の動向を注意深く監視してください。

補足: CVSSメトリクス詳細

• AV (Attack Vector)：NETWORK – 攻撃者は遠隔からネットワーク経由で攻撃可能。
• AC (Attack Complexity)：LOW – 攻撃の難易度は低く、特別な条件は不要。
• PR (Privileges Required)：NONE – 権限なしで攻撃を仕掛けられる。
• UI (User Interaction)：NONE – ユーザー操作は不要。
• S (Scope)：UNCHANGED – 脆弱性の影響範囲は同じコンポーネント内で留まる。
• C (Confidentiality Impact)：NONE – 機密性への影響はなし。
• I (Integrity Impact)：NONE – データの破壊は発生しない。
• A (Availability Impact)：HIGH – サービス停止やダウンタイムなど可用性に大きな影響。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で脆弱なバージョンを確認し、対象であればSTEP 4で公式パッチを適用してください。最後にSTEP 5で修正が反映されたかを確認します。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応策はありませんが、ネットワークアクセス制限やOracle Coherenceの非公開化でリスクを抑えることを検討してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. サービスの異常停止やログに不審なTCP接続試行がないかを調査してください。現在公開されたIOCはありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的な深刻度を示し、EPSSは実際に悪用される確率を示します。両方を確認することで優先対応がより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 現時点でCWE分類はありませんが、認証なしのネットワークアクセス経由でのDoS攻撃に類似した脆弱性は他のミドルウェアでも報告されています。

参考文献

• NVD: CVE-2026-60223詳細
• Oracle 公式セキュリティアラート 2026年7月
• JVN iPedia: CVE-2026-60223情報
• CISA KEV カタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• DoS に関するCVE・脆弱性記事一覧