【最重大】CVE-2026-60262 Oracle Coherenceの認証不要RCE脆弱性でAIインフラ攻撃のリスク増大－AI Security運用者必読の緊急対策

結論

• 危険度: Critical (CVSS 9.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-21 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60262はOracle Fusion MiddlewareのOracle Coherence製品に存在する脆弱性です。認証なしでネットワーク経由の攻撃者がOracle Coherenceを乗っ取れます。LLMゲートウェイやAIインフラ運用者にとって最優先対応すべき深刻な脆弱性です。

やさしく説明すると

この脆弱性は例えると「建物の玄関の鍵がまったくかかっていない」状態です。誰でも簡単に正面から侵入でき、重要なシステムを勝手に操作されてしまいます。AIやLLMアプリの土台となるOracle Coherenceに影響するため、放置するとシステム全体の安全性を脅かします。

技術的な原因

本脆弱性はOracle Coherenceのコアコンポーネントにあり、ネットワーク経由での認証不要アクセスを許しているために発生します。CVSSにある通り、攻撃者はネットワークレベルで直接攻撃可能（AV:N）、攻撃の難易度は低い（AC:L）、特権不要（PR:N）、ユーザ操作も不要（UI:N）です。スコープは変わらず（S:U）、機密性・完全性・可用性のすべてに深刻な影響（C:H/I:H/A:H）を与えます。

つまり、攻撃者は特別な許可や追加の手順なしにリモートからサービス全体を制御できます。CWE分類は不明ですが、ネットワーク経由の認証バイパスか権限昇格に類する重大欠陥と考えられます。

影響を受けると何が困るか

• ネットワーク経由でOracle Coherenceシステムが完全に乗っ取られる
• LLMアプリのAPIキーやセキュアなコンテキスト情報が漏洩する
• プロンプトインジェクションやAIエージェントの不正操作が可能になる
• モデルやRAG（Retrieval-Augmented Generation）パイプラインのデータ改ざんや破壊
• AIシステムの使用料金が不正に増加し、コスト管理に影響
• 複数テナントの情報漏洩やインフラ全体への攻撃波及のリスク
• Cursor、Cline、CopilotなどAIコーディングツールやIDE拡張機能を介した不正アクセスやコード実行の可能性
• .envファイルや各種認証情報の盗難によるAI開発環境の深刻な侵害

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【最重大】

判断根拠

• CVSS 3.1スコアは 9.8 のCritical。情報機密性、完全性、可用性に及ぼす影響は全て「高い」。実務的にはシステム全体の乗っ取りが可能なため即対応が必要。
• EPSSスコアは現時点で不明。悪用予測は不明だが、攻撃の難易度が非常に低いため、迅速な対応が望ましい。
• CISA KEV（既知悪用脆弱性）には登録されていない。現在のところランサムウェアグループによる悪用や公開PoCは確認されていない。
• 攻撃に必要なのはネットワークアクセスのみ（AV:N）、認証やユーザ操作は不要（PR:N/UI:N）、攻撃難易度も低い（AC:L）。つまり、ほぼ誰でも簡単に攻撃できる。

誰が動くべきか

• Oracle Coherenceを利用したAI/LLM基盤の運用者
• AI GatewayやAgentフレームワークの本番運用チーム
• MLインフラチーム（vLLM、Triton等）
• RAGパイプラインの開発・保守担当者
• バイブコーダー開発者（Cursor、Cline、GitHub Copilot等の利用者）
• IDE拡張やAIコーディングツールを含むAI駆動開発環境の管理者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / UNIX（Oracle Coherence バージョン確認）

# Oracle Coherenceのインストールディレクトリでバージョンファイルや WLS WLST コマンドを用いて確認

例：バージョン取得コマンド例（製品ごとに異なります）
$ ./bin/CoherenceVersion.sh
Oracle Coherence 14.1.2.0.0

判定: バージョンが 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0 のいずれかの場合、脆弱です。

コンテナ環境（Docker イメージのタグ確認）

docker images | grep coherence

出力例:

oracle/coherence   14.1.2.0.0   123abc456def   3 days ago

判定: タグに該当バージョンが含まれる場合脆弱です。

設定確認

本脆弱性は設定依存の問題ではありません。対象バージョンを使用している場合はすべて危険です。

Nucleiテンプレートでの検出

本CVEに対応した公開Nucleiテンプレートは存在しません。バージョン確認等で対応してください。

STEP 4: 修正を適用する

パッチ適用

Linux / UNIX

# Oracleから提供される最新のパッチをダウンロードし、手順書に従いアップデートします
# 例: Oracle Fusion Middleware Patch Setの適用

注意: アップグレードの前に必ず環境のバックアップを取得し、ステージング環境で十分に動作検証を行ってください。ダウンタイムは計画的に実施してください。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応や回避策は提示されていません。可能な限りネットワークからのアクセス制限やファイアウォールルールの強化を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で使用したバージョン確認コマンドを再度実行してください。

期待される出力

Linux / UNIX（Oracle Coherence バージョン確認）

./bin/CoherenceVersion.sh

Oracle Coherence 15.1.2.0.0  # 修正版の例

判定: バージョンが 15.1.2.0.0 以上であれば安全です。修正版となっているバージョンがベンダー公式情報で確認できたら完了です。

追加で確認すべきこと

• ログを監視し、不審なアクセスがないか確認してください。
• 公開されている検出ツールが利用可能になった際は再度スキャンを実施してください。

補足: 悪用観測状況

本脆弱性はNVDの情報によると、現時点で公開PoCや悪用を示す報告はありません。CISA KEVにも登録されていないため、実世界での積極的な悪用はまだ確認されていません。ただし攻撃難易度は極めて低いため、早期の対応が推奨されます。

補足: CVSSメトリクス詳細

• AV (Attack Vector – 攻撃元): NETWORK (ネットワーク経由で攻撃可能)
• AC (Attack Complexity – 攻撃複雑度): LOW (攻撃は簡単)
• PR (Privileges Required – 必要権限): NONE (特権なし)
• UI (User Interaction – ユーザ操作): NONE (ユーザ操作不要)
• S (Scope – スコープ): UNCHANGED (影響範囲は変わらず)
• C (Confidentiality – 機密性影響): HIGH (深刻な情報漏洩)
• I (Integrity – 完全性影響): HIGH (データ改ざんの可能性)
• A (Availability – 可用性影響): HIGH (サービス停止の可能性)

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3〜5を実施してください。具体的には対象バージョンの確認から始め、ベンダー提供の修正パッチを適用し、修正後のバージョンを再確認します。本記事内のコマンド例を参考にしてください。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式による暫定対応はありませんが、ネットワーク隔離やアクセス制御で攻撃経路を遮断することが実務的な対応策です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 監査ログやネットワークトラフィックの不審な動きを監視してください。攻撃特有のアクセスパターンはベンダー情報が公開され次第確認します。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の深刻度を示しますが、EPSSはその脆弱性が実際に悪用される可能性を示します。両方を確認すると優先度の判断が正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様にネットワーク経由で認証なしに攻撃可能な認証バイパス系脆弱性が他にも存在しますが、本件はOracle Coherence特有の重大脆弱性です。

参考文献

• NVD – CVE-2026-60262
• Oracle公式セキュリティアラート (2026年7月)
• JVN iPedia – CVE-2026-60262
• CISA KEVカタログ
• GitHub Advisory Database

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧