【重大】CVE-2026-60267 Oracle Coherence RCE脆弱性を狙うAI SecurityリスクとLLM運用者向け対策ガイド

結論

• 危険度: Critical (CVSS 9.1)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60267はOracle Fusion MiddlewareのOracle Coherenceに存在する脆弱性です。攻撃者はネットワーク越しに認証なしで侵入し、重要データの不正な作成・削除・変更が可能です。AI/LLMのAPIやデータ管理に影響する運用者は最優先で対応してください。

やさしく説明すると

この脆弱性は、鍵のかかっていない倉庫のようなものです。誰でも中に入り込み、重要な物を勝手に置いたり壊したりできます。AIを使うチームにとっては、大切なデータや設定が盗まれたり改ざんされたりする危険があります。

技術的な原因

本脆弱性は、Oracle Coherenceというキャッシュ・クラスタ製品のコア部分にあります。CWE（共通脆弱性識別基準）で特定のCWEコードは示されていませんが、ネットワーク経由で認証なしに攻撃可能な設計上の欠陥が原因です。

CVSSベースの分析では、攻撃者がネットワークアクセス(AV:N)、低い攻撃複雑度(AC:L)で、権限なし(PR:N)、ユーザ操作不要(UI:N)により機密性(C)と完全性(I)に高い影響を与えます。

影響を受けると何が困るか

• LLM APIキーを管理するOracle Coherence上のキャッシュが改ざん・漏洩する恐れ
• LLMゲートウェイやAgentフレームワークが扱う重要セッション情報の不正書き換え
• プロンプト・RAGデータなどAI開発リソースの破壊や書き換えによる利用障害
• AI駆動開発(バイブコーダー利用)環境の設定や認証情報が不正に操作されるリスク
• 請求コスト増加の原因になる不正利用への足掛かり

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 【重大】

判断根拠

• CVSSスコアは9.1でCritical（非常に危険）。機密情報とデータ完全性に対し高い影響を持つ。
• EPSSスコアは現在提供されていないため悪用予測は不明。
• ランサムウェア悪用の報告は未確認。
• 公開PoCやエクスプロイトも未確認。現時点では武器化されていない可能性。
• 攻撃はネットワーク経由で認証不要。低い攻撃複雑度で簡単に悪用が可能。

誰が動くべきか

• Oracle Coherenceを利用したAI GatewayやLLM Proxy運用チーム
• AgentフレームワークやAIインフラのセキュリティ担当者
• Cursor/ClineやCopilotなどAI駆動開発ツールの統合環境管理者
• RAGパイプラインの保守担当者およびAIサービス運用者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（Oracle Coherenceインストール環境）

cat $COHERENCE_HOME/version.txt

出力例:

12.2.1.4.0

判定: 出力が12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, または 15.1.1.0.0なら脆弱。その他はベンダーアドバイザリ参照。

設定確認

本脆弱性は設定依存ではなく、バージョンが脆弱範囲に該当すれば影響を受けます。したがって設定変更による緩和は基本的にできません。

STEP 4: 修正を適用する

パッチ適用

Linux/Unix系環境

# Oracleから提供されるパッチまたは新バージョンへのアップグレードを実行
# バージョンアップ例（詳細はベンダー公式ドキュメント参照）
sudo /opt/oracle/coherence/install/upgrade.sh --version 15.1.2.0.0

注意: パッチ適用前に必ず稼働中のOracle Coherenceのバックアップを取得してください。ステージング環境での動作検証とダウンタイム計画も必須です。

パッチ即時適用ができない場合の暫定対応

現時点で公式の暫定対応策は公開されていません。できる限りOracleの公式情報を確認し、影響範囲が限定できる場合はアクセス制御やネットワーク分離を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で示したバージョン確認コマンドを再度実行します。

期待される出力

Linux（Oracle Coherenceインストール環境）

cat $COHERENCE_HOME/version.txt

出力例:

15.1.2.0.0

判定: バージョンが 15.1.2.0.0 以上なら安全です。その他最新ベンダー修正版バージョンも同様に安全と判断可能です。

追加で確認すべきこと

• 可能ならNucleiや他の脆弱性スキャナーで環境を再テストする
• ログに不審なアクセスや異常なデータ変更がないか確認する
• Oracle公式から修正パッチの安全性情報や稼働報告を追跡する

補足: 悪用観測状況

公開されたPoCコードや悪用報告は今のところありません。CISA KEVにも登録はされていません。GitHubの公開リポジトリにも本脆弱性に関連するエクスプロイトや検証コードは存在しません。しかし、攻撃は認証不要で容易なため、今後注意深い監視が必要です。

補足: CVSSメトリクス詳細

• AV（Attack Vector：攻撃元）：Network（ネットワーク経由）
• AC（Attack Complexity：攻撃複雑度）：Low（低い）
• PR（Privileges Required：必要権限）：None（不要）
• UI（User Interaction：ユーザ操作）：None（不要）
• S（Scope：影響範囲）：Unchanged（変更なし）
• C（Confidentiality：機密性影響）：High（高い）
• I（Integrity：完全性影響）：High（高い）
• A（Availability：可用性影響）：None（なし）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で自環境の脆弱バージョンを特定し、STEP 4でベンダー提供の修正版へアップグレードしてください。具体的なコマンドとバージョンは記事内に記載しています。

Q. パッチが適用できない場合、どうすればよいですか？

A. 設定変更による緩和策はありませんが、ネットワーク隔離やアクセス制御で影響範囲を限定してください。また、Oracleの公式情報をこまめに確認しましょう。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログ監視で不正なデータ変更や不審な管理操作の痕跡を確認してください。具体的なIOCは現時点で公開されていません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは危険度の指標ですが、EPSSは「実際に悪用される可能性」を示します。両方を確認することで対応の優先度を正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. 同様に認証不要でネットワーク経由攻撃が可能な高危険度脆弱性が他にも存在します。Oracle製品は特に注意が必要です。

参考文献

• NVD – CVE-2026-60267 詳細
• Oracle 公式セキュリティアラート 2026年7月

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Critical脆弱性 に関するCVE・脆弱性記事一覧

2026-07-29 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 6日）。

CWE追加

今回新たにCWE-284（「不適切なアクセス制御」）が本脆弱性の原因として登録されました。これによって技術的な分類が明確となり、Coherenceのコア機能における権限管理の欠陥が本質的な危険性であることが示されています。自社対応時には「アクセス制御抜け」に着目した追加リスク評価や、WAF/ACL等の補完的な対処可能性にも関心を向けてください。

結論ボックスの対象範囲が未記入

本脆弱性の影響対象について、公開時点は「詳細はベンダーアドバイザリ参照」という曖昧な記載でしたが、現在はcpe:2.3:a:oracle:coherence:12.2.1.4.0、14.1.1.0.0、14.1.2.0.0が明示されました。これにより、該当バージョンを運用している組織は自身のシステムが明確に脆弱性の影響下にあるかを点検できます。対象範囲が明記されたことで、運用チームは資産棚卸やリスク判定をスムーズに進めることが可能になりました。

結論ボックスの修正バージョンが未記入

修正バージョン欄についても、以前は「ベンダーアドバイザリ参照」とのみ記載されていたものが、現在はベンダー公式アドバイザリの具体的なリンク（https://www.oracle.com/security-alerts/cpujul2026.html）が明示されました。これにより、今後の運用担当者は公式情報に直接アクセスしやすくなり、適切な修正版ソフトウェアの選択やアップデート対応が迅速化されます。最新パッチを適用することが最も堅実な対策であるため、該当環境では速やかな修正適用を推奨します。