【最重大】CVE-2026-60247 Oracle Coherenceにおけるネットワーク経由のRCE脆弱性 AI Security対策必須 Oracle Fusion Middlewareユーザー向け実務手順

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60247はOracle Fusion MiddlewareのCoherence製品で発見された重大な脆弱性です。攻撃者は認証なしでネットワーク経由HTTPアクセスし、Coherenceを完全に乗っ取れます。LLMゲートウェイやAIインフラ運用者にとって最優先対応すべき問題です。

やさしく説明すると

この脆弱性は例えると、建物の玄関の鍵が施錠されていない状態です。誰でも鍵なしで入り込み、家の中の重要な機械を好きなように動かせます。Oracle Coherenceは複数のサーバで情報を共有する重要なミドルウェアで、そこを乗っ取られるとシステム全体に大きな悪影響が出ます。

技術的な原因

この脆弱性の根本原因は、ネットワーク（英: Network）からの不正アクセスで認証要件（Prerequisite）なしに攻撃が成立する点です。CWE（共通脆弱性評価基準）は明示されていませんが、認証回避や不適切なアクセス制御が疑われます。つまり、認証なしで機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）を破壊可能です。

影響を受けると何が困るか

• APIキー（OpenAIやAnthropic等）の漏洩によりAIサービスが不正使用される
• LLMのコンテキストデータや顧客情報が盗まれる
• プロンプトインジェクションを用いたAgent（代理AI）の乗っ取り被害
• モデルやRAG（Retrieval-Augmented Generation）データの改ざん
• AIコーディングツール（CursorやClineなど）を通じてローカルファイルの漏洩や任意コード実行
• IDE拡張機能のリモート操作による開発環境全体の危険
• テナント間の情報漏洩やインフラに対する横展開攻撃
• 請求コストの急増を招く悪用

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1 基本スコアは 9.8 でCriticalゾーン。実務的にはほぼ最も危険な状態です。
• EPSSスコアは提供されていませんが、CVSSの高さから優先度は極めて高いと判断すべきです。
• CISA KEVカタログには未登録で、ランサムウェア悪用情報は今のところありません。
• GitHub上に公開PoCはなく、現時点では公開攻撃コードは存在しません。
• 攻撃はネットワーク経由で認証なしに可能。ユーザー操作も不要です。

誰が動くべきか

• Oracle Coherenceを運用しているAI/LLMシステム管理者
• LLM ProxyやAgentic AIフレームワークをOracle Coherenceと組み合わせて使っているSRE/SecOpsチーム
• AIコーディングツールや環境でOracle系ミドルウェアを内部に利用しているバイブコーダー開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Unix シェル

/opt/oracle/coherence/bin/version.sh

出力例:

Oracle Coherence Version 14.1.1.0.0

判定: 出力に 12.2.1.4.0 または 14.1.1.0.0 が含まれる場合は脆弱です。

Oracle WebLogic Console (管理画面)

ログイン後、環境情報でCoherenceのバージョンを確認

判定: 該当バージョンなら脆弱。管理画面権限者が確認可能。

設定確認

現時点で特定の設定依存はなく、対象バージョンを使っている場合は脆弱です。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートはまだありません。バージョン確認で対応してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Fusion Middleware環境 (Linux例)

# Oracleの最新パッチをダウンロードし適用
#/path/to/OPatch/opatch apply

判定: 正常にパッチが適用されれば脆弱性は解消します。詳細はOracle公式アドバイザリ参照。

注意: パッチ適用前に必ず運用環境のバックアップを取得してください。ステージング環境で十分な動作検証も必須です。

パッチ即時適用ができない場合の暫定対応

2026年7月時点で、公式からの暫定対応策は公表されていません。ネットワークアクセス制限やファイアウォールルールでHTTPアクセスを限定し、攻撃リスクを下げてください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドをもう一度実行してください。

期待される出力

Linux / Unix シェル

/opt/oracle/coherence/bin/version.sh

出力例:

Oracle Coherence Version 14.1.1.latest_patch

判定: バージョンが 12.2.1.4.0 か 14.1.1.0.0 より新しいパッチ適用済みの数字ならOKです。

追加で確認すべきこと

• パッチ適用後、ログに不審なアクセスや攻撃の兆候がないか確認してください。
• Nucleiなどの検出ツールが公開された場合は再スキャンを実施してください。

補足: 悪用観測状況

2026年7月時点でCISAのKEVカタログには未登録で、ランサムウェアによる悪用も報告されていません。GitHubや公開リポジトリにはPoCコードも存在しません。現状は理論上極めて危険ですが、実際の攻撃観測はまだない段階です。

補足: CVSSメトリクス詳細

• AV (Attack Vector / 攻撃元): NETWORK (ネットワーク経由で攻撃できる)
• AC (Attack Complexity / 攻撃難度): LOW (攻撃条件が簡単)
• PR (Privileges Required / 必要権限): NONE (認証不要で攻撃可能)
• UI (User Interaction / ユーザ操作): NONE (利用者の操作不要)
• S (Scope / 範囲): UNCHANGED (既存権限範囲内で影響)
• C (Confidentiality / 機密性影響): HIGH (完全な機密情報漏洩可能)
• I (Integrity / 完全性影響): HIGH (システム改ざんが可能)
• A (Availability / 可用性影響): HIGH (システム停止も可能)

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分の環境の対象バージョンかを確認し、STEP 4で公式アドバイザリに従い修正を適用してください。STEP 5でバージョン確認し、問題が解消されたかを必ず確認しましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式暫定対応は公表されていませんが、ネットワークアクセス制限やファイアウォールルールによるHTTP通信の遮断などで外部からの攻撃を防ぐ工夫が有効です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式からのIOC（侵害指標）は現時点で公開されていません。ログを監視し、異常なHTTPアクセスや不審な管理操作の履歴がないか確認してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的な危険度を示しますが、EPSSは「実際に悪用される可能性」を表します。両者を併用すると対応優先度の正確な判断が可能になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle CoherenceやFusion Middlewareには過去に同様の認証回避やリモートコード実行問題があります。類似のCWEに基づく脆弱性も存在しますので、ベンダーアドバイザリを常にチェックしてください。

参考文献

• NVD – CVE-2026-60247
• Oracle公式セキュリティアラート (2026年7月版)
• CISA KEVカタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧