CVE-2026-60265 Oracle CoherenceのRCE脆弱性でAIインフラ危機 LangChainエンジニア必読の緊急対応ガイド

結論

• 危険度: Medium (CVSS 6)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60265はOracle Fusion MiddlewareのOracle Coherence製品に存在する脆弱性であり、攻撃者は高権限でのログインを要件に、管理システムを不正に操作できます。この脆弱性はLLMゲートウェイやAIインフラ運用者にとって重要な威胁です。

やさしく説明すると

この脆弱性は、まるで玄関の鍵をかけ忘れているようなものです。ただし、この場合は鍵を開けるための合鍵を持っている特定の人物（高権限者）だけが入れる状態です。もしこの合鍵を持つ攻撃者が侵入すれば、建物内の重要書類や情報を自由に見ることができてしまいます。AIアプリケーションの運用で言うと、大切な設定やデータが漏えいや改ざんのリスクにさらされるイメージです。

技術的な原因

この脆弱性の原因はCWEとして公式に指定されていませんが、CVSSの分析から推測すると、高権限のローカルユーザーがOracle Coherenceのコンポーネントを不正に操作できる「権限昇格または不正アクセス」に関連しています。CWE 消去や権限管理不備に起因する「不適切なアクセス制御」が疑われます。

影響を受けると何が困るか

• Oracle Coherence上の重要なデータへ不正アクセスされる
• LLMゲートウェイやAIインフラでのデータ漏洩や改ざんリスクが高まる
• AIエージェントやAgenticフレームワークの運用・連携システムに波及し得る
• APIキーやプロンプト情報など機密情報の漏洩
• テナント間データ分離が破られ、情報漏洩を招く可能性
• AIコーディングツールやバイブコーダー環境が攻撃者により操作される可能性（Transitive Impact）

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは6.0でMediumの危険度。実務的には迅速対応ほどではないが注意が必要。
• EPSS（悪用予測スコア）は公開されていません。
• ランサムウェアによる悪用は未確認です。
• 公開PoCコードもGitHub等で確認されていません。
• 攻撃に高権限のログインが必要であり、ネットワーク経由の簡単な攻撃はできません。
• スコープが変化(S:C)するため、影響範囲はOracle Coherenceを超えて拡大し得ます。

誰が動くべきか

• Oracle Coherenceを使ったAI GatewayやLLM Proxyの運用チーム
• AgentフレームワークやAI連携基盤を管理するSecOps/SREチーム
• AI駆動開発でOracle Fusion Middlewareに依存するバイブコーダー開発者
• MLインフラ運用担当（特にOracle系インフラを含む環境の責任者）

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Oracle Coherence（バージョン確認）

# Oracle Coherenceの実行環境でバージョンを確認（例）
coherence.Version

出力例:

12.2.1.4.0

判定: 出力が 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら脆弱です

設定確認

この脆弱性は設定依存ではありません。バージョンが対象範囲内であれば脆弱性があります。

Nucleiテンプレートでの検出

本CVEに対応する公開Nucleiテンプレートは確認されていません。検出はバージョン確認で実施してください。

STEP 4: 修正を適用する

パッチ適用

Oracle製品（Oracle Fusion Middleware 含む）

# ベンダー公式の指示に従いOracle Patchを適用してください
# 具体的なPatch適用はOracleのセキュリティアラートをご参照ください

注意: パッチ適用前には必ずバックアップを取得し、検証環境で動作確認を行ってください。パッチ適用にはサービスの停止が必要な場合があります。ダウンタイム計画をしっかり立てて下さい。

パッチ即時適用ができない場合の暫定対応

本脆弱性については公式の暫定対応は提示されていません。パッチ適用までの間はOracle Coherenceの管理環境へのアクセス制御を強化してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したOracle Coherenceのバージョン確認コマンドを再度実行します。

期待される出力

Oracle Coherence（バージョン確認）

coherence.Version

出力例:

12.2.1.4.1

判定: バージョンが 12.2.1.4.1 など修正済みのバージョン以上ならOK

追加で確認すべきこと

• パッチ適用後、Oracle Coherenceの管理ログに不審なアクセスやエラーがないか監視してください。
• 可能であればセキュリティスキャナや管理画面からの定期的なバージョン確認を継続しましょう。

補足: 悪用観測状況

現状、CISA KEVには本CVEは登録されていますが、ランサムウェアグループ等による悪用観測は報告されていません。GitHub等でのPoCも公開されていません。

実際に悪用された事例はまだ確認されていないため、現時点では早期対応は推奨されますが、緊急度はMediumレベルです。

補足: CVSSメトリクス詳細

• AV (Attack Vector, 攻撃元): Local (L) – 攻撃者は攻撃対象のシステムに直接アクセスできる必要があります。
• AC (Attack Complexity, 攻撃難易度): Low (L) – 攻撃は比較的簡単に成功します。
• PR (Privileges Required, 必要権限): High (H) – 攻撃には高い権限（管理者など）が必要です。
• UI (User Interaction, ユーザ操作): None (N) – 攻撃にユーザの操作は不要です。
• S (Scope, 影響範囲): Changed (C) – 攻撃により権限や影響範囲が変わります。
• C (Confidentiality, 機密性影響): High (H) – 機密情報が大きく漏洩する可能性があります。
• I (Integrity, 完全性影響): None (N) – 完全性には影響しません。
• A (Availability, 可用性影響): None (N) – 可用性には影響しません。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で影響を受けるバージョンか確認し、対象ならSTEP 4でベンダー公表のパッチを適用してください。最後にSTEP 5で適用済みを確認します。

Q. パッチが適用できない場合、どうすればよいですか？

A. 管理環境のアクセス制御を厳格化し、不正アクセス防止に努めてください。公式の暫定対応は示されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. Oracle Coherenceの管理ログを調査し、不審な高権限アクセスの履歴がないかを確認してください。特別なIOCは公表されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論的な深刻度を示しますが、EPSSは「実際に悪用される確率」を示します。これらを併せて判断すると優先度がより適切にわかります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同種の権限管理不備やアクセス制御の不備に起因する脆弱性は頻繁に報告されています。Oracle製品やミドルウェア全般で類似脆弱性には警戒が必要です。

参考文献

• NVD – CVE-2026-60265
• Oracle July 2026 Security Alerts
• JVN iPedia – CVE-2026-60265
• CISA Known Exploited Vulnerabilities Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧