CVE-2026-60307 Oracle Coherenceの機密情報漏洩リスクとAI Security視点によるMCP Server運用者向け緊急対応

結論

• 危険度: Medium (CVSS 4.3)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-22 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-60307はOracle Fusion MiddlewareのOracle Coherence製品で発生する脆弱性です。攻撃者は認証不要ではないものの、低い権限でネットワーク経由のHTTPアクセスからOracle Coherenceを侵害し、許可されていないデータの読み取りを行えます。これはAI GatewayやLLM ProxyなどOracle Coherenceを使うシステム運用者に重大なリスクとなります。

やさしく説明すると

この脆弱性は、例えるなら建物の玄関に完全な鍵はかかっているが、一部の部屋の鍵が勝手に開けられてしまうようなものです。最低限の認証は必要ですが、攻撃者は簡単にネットワーク経由である範囲の情報を盗めます。LLMアプリを支える裏側のデータ保存やキャッシュが対象です。これにより、顧客の重要な情報を守るAIコーディングツールや運用環境が危険にさらされかねません。

技術的な原因

この脆弱性は、Oracle Fusion MiddlewareのコアコンポーネントであるOracle Coherenceに存在します。Coherenceはインメモリ分散キャッシュ製品で、LLM GatewayやAgenticフレームワークなどでキャッシュ用途に用いられます。CWE分類は明示されていませんが、CVSSベクターから判断すると「不適切な認可制御」による機密情報漏洩が原因と考えられます。

つまり、低い権限のユーザーでもHTTPを通じてアクセスできる箇所に、本来アクセス禁止のデータ読み取りが許されてしまう制御ミスです。

影響を受けると何が困るか

• Oracle Coherenceに保存されたAI/LLMコンテキスト情報の一部が漏洩し、顧客データが外部に出るリスク
• APIキー（OpenAIやAnthropicなど）が漏洩して不正利用される可能性
• AI GatewayやLLM Proxyの機密情報が取得されてプロンプトインジェクション攻撃やAgentの乗っ取りが起こるリスク
• RAG（Retrieval-Augmented Generation）パイプラインのデータ改ざんや漏洩
• AIコーディングツール（Cursor、Cline、Copilotなど）でのローカルファイルアクセス権限の拡大リスクへつながる可能性
• 運用中のAgenticフレームワークの管理情報なども漏洩し、SRE/SecOpsチームの監査が困難になる懸念

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1スコアは4.3（Medium）。情報漏洩という限定的な影響であり、緊急性は高くない
• EPSS（悪用予測スコア）は提供されていません
• CISA KEV（悪用観測カタログ）には登録されていますが、ランサムウェア悪用は現時点で不明
• 公開PoC（Proof of Conceptコード）は存在しません
• 攻撃はネットワーク経由（HTTP）で可能だが低権限ユーザーが必要。ユーザ操作不要だが認証は必要
• デフォルト設定が脆弱かはベンダー公式アドバイザリ参照が必要

誰が動くべきか

• Oracle Coherenceをバックエンドに利用するAI GatewayやLLM Proxyの運用チーム
• Agenticフレームワーク開発者でOracle Coherence連携がある場合
• RAGパイプライン保守者でCoherenceを使うケース
• インフラ全体への横展開リスクを踏まえたMLインフラチーム
• バイブコーダー開発者だがOracle Coherenceを直接利用しない場合は優先度は低い

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Linux / Unix 系（Oracle Fusion Middleware 環境）

java -jar /path/to/coherence.jar -version

出力例:

Coherence Version 14.1.1.0.0 Build 1234

判定: バージョンが 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0, 15.1.1.0.0のいずれかであれば対象

設定確認

本脆弱性は設定依存の詳細情報が公開されていないため、バージョンが対象範囲であれば基本的に脆弱と判断してください。

Nucleiテンプレートでの検出

公開Nucleiテンプレートは現在提供されていません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Oracle Coherenceの修正版がベンダーから提供されています。公式のパッチやアップデートを適用してください。以下は一般的なアップグレードコマンド例です。

Linux / Unix 系（Oracle Fusion Middleware 環境）

# Oracle Fusion Middleware ソフトウェアアップグレード手順例
cd /path/to/oracle_fmw_home
java -jar fmw_install.jar -silent -responseFile /path/to/response_file.rsp

判定: ベンダー公式パッチ適用後はバージョン確認で新版表示を確認してください

注意: パッチ適用前に必ず設定やデータのバックアップを取得してください。ステージング環境で問題がないか検証し、本番環境ではダウンタイム計画を立ててください。

パッチ即時適用ができない場合の暫定対応

現時点でベンダーは暫定対応を公式には示していません。ネットワークアクセス制限、WAFルール追加などでHTTP経路のセキュリティ強化を検討してください。

STEP 5: 修正されたことを確認する

STEP 3で実行したバージョン確認コマンドを再度実行し、修正版のバージョンが反映されていることを確認します。

期待される出力

Linux / Unix 系（Oracle Fusion Middleware 環境）

java -jar /path/to/coherence.jar -version

出力例:

Coherence Version 15.1.1.1.0 Build 1235

判定: バージョンが 15.1.1.1.0 または対応バージョン以上ならOK

追加で確認すべきこと

修正後は引き続きログ監視で不審なアクセスがないかを確認してください。公開Nucleiテンプレートがないため、ベンダー提供の診断ツールの利用やネットワーク監視も重要です。

補足: 悪用観測状況

2026年7月現在、CISA KEVには登録されているものの、ランサムウェア等による悪用観測は公表されていません。公開PoCや攻撃ツールも存在せず、実際の悪用例は確認されていません。ただ、ネットワーク経由でのアクセス可能性があるため、適宜監視と修正を心がけてください。

補足: CVSSメトリクス詳細

• AV (Attack Vector / 攻撃元): NETWORK – 攻撃者はネットワーク経由で攻撃可能
• AC (Attack Complexity / 攻撃複雑度): LOW – 攻撃条件は簡単
• PR (Privileges Required / 必要権限): LOW – 低権限の認証済みユーザーが必要
• UI (User Interaction / ユーザ操作): NONE – ユーザの操作は不要
• S (Scope / スコープ): UNCHANGED – 脆弱性の影響範囲は変更なし
• C (Confidentiality / 機密性影響): LOW – 機密情報の一部が漏洩する可能性
• I (Integrity / 完全性影響): NONE – データの改ざんはない
• A (Availability / 可用性影響): NONE – サービス停止の影響はない

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. 脆弱なバージョンかどうかをSTEP 3の手順で確認し、該当する場合はベンダー提供のパッチ適用をSTEP 4で実施してください。その後、バージョン確認とログ監視を行うことが重要です。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対策はありませんが、HTTPアクセスの制限やWAF（Webアプリケーションファイアウォール）ルールの強化、ネットワーク分離などでリスクを減らしてください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 現状悪用観測がなく公開PoCもないため特別なIOCはありません。ログ監視で不審なHTTPアクセスや認証異常を注意深くモニタリングしてください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは深刻度を示し、EPSS（Exploit Prediction Scoring System）は実際に悪用される可能性を示します。EPSSが高ければ優先的に対応すべきと判断できますが、今回のCVEはEPSS情報がありません。

Q. このCVEと類似の脆弱性は他にもありますか？

A. Oracle Coherence製品では過去にも認証制御やデータ漏洩に関する脆弱性が報告されています。同様に分散キャッシュやミドルウェアのアクセス制御に注意が必要です。

参考文献

• NVD – CVE-2026-60307
• Oracle Security Alerts – 2026年7月
• GitHub Advisory Database – GHSA-7vpj-pj35-grhx
• CISA Known Exploited Vulnerabilities Catalog

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧