CVE-2026-60266 Oracle Coherenceの認証回避脆弱性によりAIインフラのデータ漏洩リスク発生 LLM運用者向け緊急対応

結論

• 危険度: Medium (CVSS 5.9)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60266はOracle Fusion MiddlewareのOracle Coherence製品に影響する脆弱性です。攻撃者は認証なしでTLS経由で不正アクセスし、機密データを奪うことができます。LLMゲートウェイやAIインフラ運用者にとって早急な対応が必要です。

やさしく説明すると

この脆弱性は、玄関の鍵が複雑に壊されるようなものです。認証を通さずにネットワーク経由で侵入され、重要な情報が盗まれたり操作されたりします。AIやLLMを扱うインフラでは、重要な設定やAPIキーが記録されている場合があり、情報漏洩のリスクが高まります。

技術的な原因

この脆弱性は、Oracle Coherenceのコアコンポーネントに存在します。攻撃元がネットワーク経由（AV: ネットワーク）で接続できる状態で、アクセスを許可してしまい、認証権限なし（PR: なし）でアクセスされます。攻撃複雑度（AC: 高）が高いものの、ユーザー操作は不要（UI: なし）なため、攻撃機会を許せば情報漏洩（機密性影響:C：高）が起きます。CWEは未登録ですが、認証不足による認証回避の脆弱性に近いものと考えられます。

影響を受けると何が困るか

• AIゲートウェイやLLMプロキシの重要データが漏洩する
• APIキーや認証情報が第三者に渡る
• LLMコンテキストやカスタマーデータが盗まれるリスク
• Agentフレームワークが乗っ取られ、不正操作される恐れ
• AI駆動開発ツール(Cursor、Cline、Copilotなど)と連携する環境での横展開被害
• AIインフラ全体の信頼性が著しく低下する

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSSスコアは5.9のMedium評価。機密性の影響があるが、攻撃の難易度は高め
• EPSSスコアは提供なし。現時点で悪用の頻度は低いと推測される
• ランサムウェアグループによる悪用は不明。未確認のため緊急度は中程度
• 公開PoCや攻撃コードは存在しない。実務的にはすぐに攻撃が広まるリスクは低い
• ネットワークからTLS接続可能な状態で認証なしアクセスが必要。攻撃条件はやや厳しい

誰が動くべきか

• Oracle Coherence製品を使いLLM GatewayやAIインフラを運用するインフラチーム
• Agentフレームワーク（LangChain/AutoGen等）やRAGパイプライン保守者
• バイブコーダー開発者でOracle製ミドルウェアと連携する環境のユーザー
• LLM ProxyやMCP ServerなどOracle関連技術を活用するSRE/SecOpsチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Oracle製品サーバ環境（bash）

# Oracle Coherenceのバージョンはインストールディレクトリの構成ファイルや管理ツールから確認してください
# 例: インストールパスでのリリースファイル確認
cat /opt/oracle/coherence/version.txt

出力例:

12.2.1.4.0

判定: 出力が 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、または 15.1.1.0.0 のいずれかなら脆弱。最新のベンダーアドバイザリを必ず確認。

設定確認

この脆弱性は設定依存ではありません。影響を受けるバージョンであれば脆弱です。設定による緩和策はありません。

Nucleiテンプレートでの検出

現時点で公開されているNucleiテンプレートはありません。ベンダー公式ツールやバージョン確認で対応してください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherence製品のアップデート（bash）

# ベンダー公式のパッチまたは最新バージョンを入手して適用してください
# 環境により手順が異なるため、必ずOracle Fusion Middlewareの公式アップグレードガイドを参照ください

注意: パッチ適用前には必ず環境のバックアップを取得してください。テスト環境で動作検証し、本番環境ではダウンタイム計画を立てて実施しましょう。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応は提示されていません。ネットワーク分離やTLSアクセス制限を強化するなどの措置を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再実行し、修正済みの安全なバージョンかを確認します。

期待される出力

Oracle製品サーバ環境（bash）

cat /opt/oracle/coherence/version.txt

出力例:

15.1.2.0.0

判定: バージョンが 15.1.2.0.0 以上またはベンダーが案内する修正版なら安全です。

追加で確認すべきこと

• 公式ツールや監査ログで不審なアクセスを検知しないか確認する
• 該当環境のTLSアクセスログを調査し、不審な接続がないかを監視する
• 公開Nucleiテンプレートが提供された場合は定期的にテストを実施する

補足: 悪用観測状況

現時点でCISA KEVへの登録はなく、ランサムウェア等による悪用報告はありません。公開されているPoCコードも存在しません。実際の悪用は確認されていませんが、適切な管理のもと早期対応すべきです。

補足: CVSSメトリクス詳細

• AV (Attack Vector, 攻撃元): NETWORK – ネットワーク経由での攻撃が可能
• AC (Attack Complexity, 攻撃の複雑さ): HIGH – 攻撃条件が難しい
• PR (Privileges Required, 必要権限): NONE – 権限不要で攻撃可能
• UI (User Interaction, ユーザ操作): NONE – ユーザ操作なしで攻撃可能
• S (Scope, 影響範囲): UNCHANGED – 影響範囲に変更なし
• C (Confidentiality, 機密性の影響): HIGH – 秘密情報が漏洩する
• I (Integrity, 完全性の影響): NONE – 情報改ざんはなし
• A (Availability, 可用性の影響): NONE – サービス停止はなし

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自分の環境が対象かを必ず確認してください。対象バージョンの場合はSTEP 4で公式パッチの適用を進めましょう。

Q. パッチが適用できない場合、どうすればよいですか？

A. STEP 4の暫定対応を検討してください。特にTLS通信の制限やネットワークの分離を強化し、侵入経路を減らしましょう。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 不審なTLS接続ログの調査やOracle公式の監査ツールを用いて、アクセス履歴を監視してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは技術的な深刻度を示しますが、EPSSは実際に悪用される可能性を表します。両者を使うことで優先対応の判断精度が上がります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 認証回避や不正アクセスに関連したCWE分類の脆弱性は多く存在します。Oracle関連製品で類似不具合がある場合、ベンダーからの情報を追うことが重要です。

参考文献

• NVD – CVE-2026-60266 詳細
• Oracle 公式セキュリティアラート（2026年7月）
• CISA Known Exploited Vulnerabilities Catalog
• GitHub Advisory Database – CVE-2026-60266

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧