【最重大】CVE-2026-60244 Oracle Coherenceにおけるネットワーク経由の未認証RCE脆弱性解説 AI Security対策ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60244はOracle Fusion MiddlewareのCoherenceという製品にある脆弱性です。攻撃者は認証なしでHTTPネットワーク経由で簡単に侵入し、Coherenceの制御を乗っ取れます。これはLLMゲートウェイ運用者やAIインフラ担当者にとって非常に深刻な問題です。

やさしく説明すると

イメージとしては、あなたの会社のAIシステムの「玄関のドア」が無施錠の状態になっているようなものです。誰でも簡単に中に入ってしまい、システムの大切な部分を自由に操作できます。鍵を持っていなくても中に入れてしまうので、特に安全な環境を守りたい運用者にとって大変困る問題です。

技術的な原因

この脆弱性は、認証なしかつHTTPでのネットワークアクセスに対して脆弱な実装があることに起因します。CWE（Common Weakness Enumeration）で特定された分類はありませんが、低複雑度（AC:LOW）で権限不要（PR:NONE）、ユーザ操作も不要（UI:NONE）な点が特徴です。つまり誰でも簡単にリモートから攻撃可能で、範囲（スコープ）は変更されません。

影響を受けると何が困るか

• Oracle Coherenceを乗っ取られ、AI/LLMシステムの基盤が完全に制御される
• AI GatewayやAgentフレームワークが悪用され、認証情報やAPIキー(OpenAIなど)が漏洩するリスク
• LLMのコンテキスト情報や重要な顧客データが窃取される恐れ
• プロンプトインジェクションでエージェントの挙動を改ざんされるリスク
• AI駆動開発ツール（Cursor、Cline、Copilotなど）がリモートから操作される可能性
• 請求コストが不正に増大するなど経済的被害
• インフラ全体への横展開による大規模な被害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1 ベーススコアは 9.8（Critical）。機密性、完全性、可用性すべてに深刻な影響。
• 攻撃元はネットワーク（AV:N）、攻撃複雑度は低い（AC:L）。認証も不要（PR:N）、ユーザ操作も不要（UI:N）。
• EPSSスコアは現時点で提供なし。
• ランサムウェア悪用は報告されていないが、攻撃のしやすさから今後悪用が懸念される。
• 公開PoCやGitHub Advisoryは存在しないが公式パッチ実装までが急務。
• 設定依存ではなく影響範囲が広いため、デフォルト設定で脆弱な可能性が高い。

誰が動くべきか

• Oracle Fusion Middlewareを使用しているAI/LLMインフラ担当者
• Coherenceを基盤にするAI GatewayやAgentフレームワークの運用者
• RAGパイプラインやLLM Proxyのチーム
• バイブコーダー開発者でOracle製品を利用する場合のセキュリティ管理担当

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux環境（Oracle製品バージョン確認）

# Oracle製品バージョンは通常インストールディレクトリの情報または管理ツールで確認します
cat $ORACLE_HOME/.version 2>/dev/null || cat /opt/oracle/coherence/version.txt

出力例:

12.2.1.4.0

判定: 出力されたバージョンが 12.2.1.4.0 または 14.1.1.0.0 の場合、対象の脆弱なバージョンです。

環境変数による確認

echo $ORACLE_HOME

出力例:

/opt/oracle

判定: ORACLE_HOMEが設定されていれば上記バージョン確認パスを参照してください。

設定確認

この脆弱性は設定依存ではありません。対象バージョンが動作していれば脆弱です。設定で防ぐ方法は公表されていません。

Nucleiテンプレートでの検出

公開されているNucleiテンプレートはありません。ベンダーの提供する検出ツールまたはバージョン確認で対応してください。

STEP 4: 修正を適用する

パッチ適用

Linux環境（Oracle Fusion Middleware アップデート例）

# 1. Oracleの公式サイトから修正版パッチをダウンロード
# 2. サービスを停止
sudo systemctl stop coherence

# 3. パッチを展開し適用（例）
unzip patch_coherence_14.1.1.0.1.zip -d /opt/oracle/coherence
cd /opt/oracle/coherence
./applyPatch.sh

# 4. サービスを再起動
sudo systemctl start coherence

判定: パッチ適用後、バージョンが修正版に更新されていれば修正完了です。

注意: パッチ適用前に必ず全データのバックアップを取り、ステージング環境で問題がないか検証してください。パッチ適用にダウンタイムが発生する可能性がありますので運用計画に反映してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応策は提示されていません。ネットワークレベルでのアクセス制限や、CoherenceサービスへのHTTPアクセスをFirewallで制限することが暫定的な対策として考えられます。

STEP 5: 修正されたことを確認する

STEP 3 で使用したバージョン確認コマンドを再度実行してください。

期待される出力

Linux環境（Oracle製品バージョン確認）

cat $ORACLE_HOME/.version 2>/dev/null || cat /opt/oracle/coherence/version.txt

出力例:

14.1.1.0.1

判定: バージョンが 14.1.1.0.1 以上（修正版）であれば安全です。

追加で確認すべきこと

• ログに不審なアクセスや攻撃の痕跡がないか監視する
• ベンダー提供の検出ツールがあれば再実行する

補足: 悪用観測状況

現時点でCISAのKEV（Known Exploited Vulnerabilities）カタログには未登録です。公開PoCやGitHub上のエクスプロイトも見つかっておらず、悪用の報告はありません。ただし、CVSS 9.8の深刻度から実際の悪用リスクは非常に高いと警戒が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector/攻撃元): NETWORK（ネットワーク経由で攻撃可能）
• AC (Attack Complexity/攻撃複雑度): LOW（低い。簡単に成功する）
• PR (Privileges Required/必要権限): NONE（権限不要）
• UI (User Interaction/ユーザ操作): NONE（ユーザ操作不要）
• S (Scope/影響範囲): UNCHANGED（影響範囲の変更なし）
• C (Confidentiality/機密性影響): HIGH（情報漏洩など重大影響）
• I (Integrity/完全性影響): HIGH（改ざん可能）
• A (Availability/可用性影響): HIGH（サービス停止などの影響）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象環境か確認し、STEP 4でベンダー提供の修正版パッチを適用してください。具体的なバージョンやコマンドは本記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. STEP 4の暫定対応として、ネットワークレベルでのアクセス制限やサービス無効化を検討してください。公式の暫定対応はまだ提示されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーの提供する検出ツールやログ監視を行い、不審なHTTPアクセスやプロセスの挙動を確認してください。GitHubなどで公開PoCは現時点で存在しません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。両方を確認すると対応優先度の判断がより正確になります（本件はEPSSデータなし）。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同じく認証不要・ネットワーク経由で攻撃可能な高CVSSの脆弱性は過去に何件もあります。Oracle Fusion Middleware製品ラインを中心に注意が必要です。

参考文献

• NVD – CVE-2026-60244
• Oracle Security Alerts July 2026
• JVN iPedia – CVE-2026-60244
• CISA KEV Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧