【高】CVE-2026-60305 Oracle Coherenceの認証バイパス脆弱性によるAI SecurityリスクとLLMインフラ対策手順

結論

• 危険度: High (CVSS 7.1)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60305はOracle Fusion MiddlewareのOracle Coherence製品で発見されました。この脆弱性により攻撃者は認証なしでネットワーク経由で重要データの読み書きや改ざんが可能です。特にAIやLLMのセキュリティを扱う運用者にとって最優先で対応すべき問題です。

やさしく説明すると

想像してください、社内の重要なデータベースの鍵が簡単に壊されてしまうような状態です。攻撃者は特別な権限がなくても、ネットワークを通じて勝手にデータを書き換えたり、削除したりできます。AIやLLMのアプリケーションは大量の敏感情報を扱うため、こうした「玄関の鍵が外れた状態」は大きなリスクです。

技術的な原因

この脆弱性はCWEの公式指定はありませんが、CVSSの評価から低い権限でもネットワーク経由でアクセス可能な状況にあります。ここで問題となるのは「認証の不備による権限昇格」や「アクセス制御の不十分さ」です。つまり、攻撃者が低権限ユーザーとしても容易に重要データに不正アクセスや改ざんが可能な設計上の問題です。

影響を受けると何が困るか

• AI GatewayやLLM Proxyなどで使うOracle Coherenceの重要設定や状態データが不正操作される
• LLMコンテキストやプロンプトが改ざんされ、結果の信頼性が失われる
• 請求コストが不正に跳ね上がる可能性がある
• Agentic型エージェントフレームワークの権限乗っ取りに繋がる恐れ
• Cursor/ClineなどAI駆動開発ツール経由で間接的に悪影響が波及する可能性
• インフラ全体への横展開による大規模情報漏洩やサービス停止リスク
• .envファイルやAPIキーなどセンシティブ情報の漏洩

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS 3.1スコアは7.1でHighに分類。実務的には重要データの改ざんリスクが大きく油断できないレベルです。
• EPSS（実際悪用される確率の指標）は提供されていません。
• 現時点でランサムウェアによる悪用報告はありません。
• 公開されたPoCコードや攻撃ツールは確認されていません。
• 攻撃は低権限でネットワーク経由（TCPアクセス）で実行可能、操作は認証不要でユーザ操作も不要です。
• デフォルト設定でも脆弱である可能性が高く、早期のアップデート推奨。

誰が動くべきか

• Oracle Coherenceをバックエンドに利用するLLM GatewayやLLM Proxyの運用チーム
• Agent Framework（LangChain、AutoGen等）を利用するAIエージェント運用者
• RAG（Retrieval-Augmented Generation）パイプラインの開発・保守者
• Cursor、Cline、CopilotなどAI駆動開発ツールの利用者（間接的な影響を受ける可能性あり）
• MLインフラチームやSRE/SecOpsチーム

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux（rpm/Oracle独自CLIなど）

rpm -qi oracle-coherence

出力例:

Name        : oracle-coherence
Version     : 14.1.1.0.0
Release     : 1.el7

判定: バージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら対象。

Windows（PowerShell）

Get-ItemProperty "HKLM:\Software\Oracle\Coherence" | Select-Object Version

出力例:

Version
-------
14.1.2.0.0

判定: バージョンが 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0 のいずれかなら対象。

設定確認

本脆弱性は設定依存ではなく、対象バージョンであれば脆弱です。設定変更による暫定対策は公式から提示されていません。

Nucleiテンプレートでの検出

2026年7月時点で本脆弱性向けの公開Nucleiテンプレートは存在しません。バージョン確認での検出を推奨します。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherence 公式アップデート

ベンダーの公式サイトから該当バージョンの更新パッチをダウンロードし、リリースノートに従って適用してください。

注意: パッチ適用前に必ず対象システムのバックアップを取得してください。ステージング環境での検証も推奨します。ダウンタイム計画を作成し、サービス影響を最小化しましょう。

パッチ即時適用ができない場合の暫定対応

ベンダーの公式アドバイザリには暫定対応策は記載されていません。重要ネットワークからOracle Coherence製品へのTCPアクセス制限やネットワーク分離を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で使ったバージョン確認コマンドをもう一度実行してください。

期待される出力

Linux（rpm）

rpm -qi oracle-coherence

出力例:

Name        : oracle-coherence
Version     : 15.1.1.0.1
Release     : 1.el7

判定: バージョンが 15.1.1.0.1 またはそれ以降に更新されていればOKです。

Windows（PowerShell）

Get-ItemProperty "HKLM:\Software\Oracle\Coherence" | Select-Object Version

出力例:

Version
-------
15.1.1.0.1

判定: バージョンが 15.1.1.0.1 以上なら安全です。

追加で確認すべきこと

• 脆弱性検出ツール（公式ツールやサードパーティ製品）が使える場合は再スキャンしましょう。
• ログに不審な接続やデータ改ざんの痕跡がないかを監視してください。
• AI Security運用チームは、Agentic型フレームワークやRAGパイプラインの挙動確認も推奨します。

補足: 悪用観測状況

2026年7月現在、CVE-2026-60305に関する公開されたPoCコードやExploitは確認されていません。ランサムウェアグループによる悪用報告もありません。したがって、即座の広範囲な被害は報告されていないものの、高いCVSSスコアから計画的な対策が必要です。

補足: CVSSメトリクス詳細

• AV（Attack Vector／攻撃元）: Network ネットワーク経由で攻撃可能
• AC（Attack Complexity／攻撃複雑度）: Low 攻撃は比較的容易
• PR（Privileges Required／必要権限）: Low 低権限で攻撃可能
• UI（User Interaction／ユーザ操作）: None ユーザ操作不要
• S（Scope／影響範囲）: Unchanged 攻撃前後で権限範囲は変わらず
• C（Confidentiality／機密性影響）: Low 一部機密情報の漏洩
• I（Integrity／完全性影響）: High 重要データの改ざんが可能
• A（Availability／可用性影響）: None サービス停止リスクはなし

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. まずSTEP 3で環境の対象バージョンかを確認し、STEP 4で公式パッチを適用してください。最後にSTEP 5でアップデートが正しく反映されたかを検証します。

Q. パッチが適用できない場合、どうすればよいですか？

A. ネットワークレベルでTCP接続を制限し、影響範囲を狭めてください。ベンダーからの暫定対応は提供されていません。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ベンダーからの具体的なIOCは未提供ですが、アクセスログに不審なTCP接続や操作履歴がないか監視することが重要です。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の理論上の重大度を示しますが、EPSSはその脆弱性が実際にどれくらい悪用される可能性があるかを数字で示します。両方をみることで優先順位がより正確になります。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Coherenceやミドルウェア製品に似たネットワーク経由の認証回避系脆弱性は過去にも報告があります。関連するCWE番号が特定されていませんが、アクセス制御の緩さが根本的な原因です。

参考文献

• NVD CVE-2026-60305
• GitHub Advisory Database (GHSA-p29p-78r2-9xhp)
• Oracle Security Alerts 2026年7月
• JVN iPedia
• CISA KEV Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧