【最重大】CVE-2026-60256 Oracle Coherenceのリモートコード実行RCE脆弱性を狙う攻撃対策AI Security入門ガイド

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60256はOracle Fusion MiddlewareのOracle Coherence製品にある脆弱性です。この脆弱性により攻撃者は認証なしでネットワーク経由でOracle Coherenceの制御権を奪えます。AI/LLMゲートウェイ運用者にとっては最優先で対応すべき重大な問題です。

やさしく説明すると

例えるなら、ビルの玄関に鍵がかかっていない状態です。誰でも中に自由に入り込めてしまうため、ビルの中の重要なシステムに勝手にアクセスされます。これでは中の資料を勝手に書き換えられたり、重要な情報を盗まれたりします。Oracle Coherenceは多くの大規模AIシステムの基盤に使われているため、放置すると大変危険です。

技術的な原因

この脆弱性はネットワーク越しに認証を必要とせずに攻撃できるため、CWE（共通脆弱性種類）で言うところの「CWE-284: 不適切なアクセス制御」に該当します。攻撃複雑度（AC）が低く、攻撃者権限（PR）は不要でユーザ操作も必要ないため、誰でも簡単に攻撃が可能です。

影響を受けると何が困るか

• APIキー(OpenAI/Anthropic等)や認証情報の漏洩リスクが高まる
• LLMコンテキスト情報（顧客データ含む）の窃取が起きる
• プロンプトインジェクションを使ったエージェント乗っ取りが可能になる
• モデルやRAG（Retrieval Augmented Generation）データの改ざん被害
• 請求コストの急増による運用コスト悪化
• テナント間の情報漏洩が発生し、多重利用環境で甚大な影響
• インフラ全体への横展開攻撃リスク
• AIコーディングツール(Cursor/Cline/GitHub Copilot等)経由でローカルファイル読み取りや任意コード実行を許す恐れ
• IDE拡張のリモート操作による作業環境乗っ取り
• .envファイルや機密認証情報の露出

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS v3.1スコアは9.8でCritical（最重大）。実務的には「即時対応しないと重大インシデントにつながる」恐れがあるレベルです。
• EPSSスコア（悪用予測スコア）は現時点で公表されていません。
• ランサムウェアなどによる悪用は現時点で不明、確認されていません。
• 公開PoC（攻撃コード）もGitHub上に存在せず、まだ武器化は確認されていません。
• ネットワーク経由で認証不要、ユーザー操作も不要と非常に悪用しやすい脆弱性です。

誰が動くべきか

• Oracle CoherenceをAI GatewayやLLM Proxy、Agenticシステムの基盤に利用している
  インフラ運用・SRE/SecOpsチーム
• AI/LLM アプリケーション開発者でCoherence依存のシステムを運用する場合は早期確認を推奨
• RAGパイプラインやMLインフラ、特に複数テナント運用環境管理者
• Cursor、Cline、CopilotなどAI駆動開発ツール使用者で、Coherence連携環境の有無を要チェック

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux シェル（Oracle Coherenceが稼働する環境）

ps aux | grep coherence

出力例:

oracle   1234  0.0  1.2 123456 7890 ?        Sl   10:00   0:10 /path/to/coherence-14.1.1.0.0/bin/coherence

判定: バージョン文字列に 14.1.1.0.0 または 14.1.2.0.0、 15.1.1.0.0 が含まれる場合は脆弱

Docker 環境（コンテナイメージにOracle Coherenceが含まれる場合）

docker images | grep coherence

出力例:

oracle/coherence   14.1.1.0.0    sha256:xxxx...   3 days ago

判定: イメージタグが脆弱バージョンなら脆弱

設定確認

この脆弱性は設定依存ではありません。対象のバージョンを使っている場合は脆弱です。

Nucleiテンプレートでの検出

公開されたNucleiテンプレートは今のところありません。検出はバージョン確認で実施してください。

STEP 4: 修正を適用する

パッチ適用

Linuxサーバ（Oracle Coherenceのアップグレード例）

# Oracle公式サイトから最新パッチをダウンロードし適用
./patch_coherence.sh

出力例:

Patch applied successfully. Current version: 15.1.2.0.0

判定: バージョンアップに成功し 15.1.2.0.0 以降になれば安全

注意: パッチ適用前に必ず影響範囲の確認とバックアップを取得してください。ステージング環境で動作検証を行い、ダウンタイムや復旧計画も用意しましょう。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は現時点で提示されていません。ネットワーク制限やCoherenceへのTCPポート遮断、WAFによる不審アクセス遮断ルールの導入を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを、修正適用後に再度実行してください。

期待される出力

Linux シェル

ps aux | grep coherence

出力例:

oracle   2345  0.0  1.2 123456 7890 ?        Sl   12:00   0:05 /path/to/coherence-15.1.2.0.0/bin/coherence

判定: バージョンが 15.1.2.0.0 以上ならOK

追加で確認すべきこと

• 脆弱性検出ツール（ベンダー提供ツール）があれば再実行する
• ログに不審なTCPアクセスや異常動作がないか監視を継続

補足: 悪用観測状況

現時点でCISAや各種情報源にランサムウェアグループの悪用情報は確認できません。公開PoCもGitHub上に存在しないため、実際の攻撃はまだ発見されていない状況です。しかし、CVSSスコア9.8の高危険度で認証不要なため、警戒を強めて早急に対策を行うべきです。

補足: CVSSメトリクス詳細

• AV（Attack Vector：攻撃元）: Network（ネットワーク経由）
• AC（Attack Complexity：攻撃の複雑さ）: Low（攻撃手順が単純）
• PR（Privileges Required：必要権限）: None（権限不要）
• UI（User Interaction：ユーザ操作）: None（利用者操作不要）
• S（Scope：影響範囲）: Unchanged（システム範囲変更なし）
• C（Confidentiality：機密性）: High（情報漏洩の重大影響）
• I（Integrity：完全性）: High（データ改ざんの重大影響）
• A（Availability：可用性）: High（サービス停止の重大影響）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3の対象バージョンの確認と、STEP 4での最新版パッチ適用を必ず行ってください。具体的なコマンド例は本記事内に掲載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、ネットワーク分離や不必要なTCPアクセスの遮断を検討してください。WAFのルール追加も有効です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式に特定のIOC（侵入兆候）は公表されていません。ログ監視で不審なTCP接続やCoherenceの異常動作を注視してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的深刻度を表します。EPSSは「実際に悪用される確率」を示すため、両方を見ると優先的な対応の判断が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同種の認証不要でネットワークから攻撃可能なアクセス制御エラー（CWE-284）が他にも複数報告されています。脆弱性管理に注意してください。

参考文献

• NVD – CVE-2026-60256
• Oracle公式 セキュリティアドバイザリ
• JVN iPedia – CVE-2026-60256
• CISA KEVカタログ

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧