Oracle WebLogic Serverに11件の深刻な脆弱性-最大CVSS 9.9のCVE-2026-60206はスコープ変更で他製品にまで影響|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

Oracleは2026年7月21日、四半期ごとの定例セキュリティパッチとなるCritical Patch Update(CPU)を公開しました。今回のCPUは全製品を合わせて1,449件ものパッチを含む、記録的な規模のリリースです。その中でOracle WebLogic Serverのコアコンポーネントには11件の脆弱性が修正されており、なかでもCVE-2026-60206はCVSSスコア9.9という極めて高い深刻度が付与されています。11件のうち9件は認証が一切不要なままで悪用できるものであり、T3・IIOP・HTTP・SOAP・SAMLといった複数のプロトコル経由で攻撃が可能です。本稿執筆時点でこれら特定のCVEに対する実際の野外での悪用は確認されておらず、公開PoCも存在しませんが、攻撃の複雑さが低く認証不要という条件の組み合わせは、過去のWebLogic脆弱性が公開直後から積極的に悪用されてきた経緯を踏まえれば、速やかなパッチ適用を必要とするものです。

サマリー

Oracleは2026年7月21日の定例Critical Patch Updateで、WebLogic Serverのコアコンポーネントに存在する11件の脆弱性を修正しました
最も深刻なCVE-2026-60206はCVSSスコア9.9で、低い権限のみを持つ攻撃者がHTTP経由で悪用でき、スコープ変更(scope change)によりWebLogic Server自体のみならず他の製品にまで影響が及ぶ可能性があります
11件のうち9件は認証不要(unauthenticated)で悪用可能であり、攻撃元区分はいずれもネットワーク(AV:N)です
8件がCVSS 9.8の評価を持ち、T3・IIOPプロトコル経由での完全な乗っ取りを可能にします
影響を受けるバージョンはWebLogic Server 12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0の各系列で、CVEごとに対象バージョンが異なるため個別確認が必要です
本稿執筆時点でこれら特定CVEの野外悪用およびPoCの公開は確認されていませんが、過去の事例から攻撃者はOracle WebLogicの脆弱性をパッチ公開直後から積極的に狙う傾向があります
暫定緩和策として、T3・IIOPおよび管理ポートへのアクセス制限、ファイアウォールによるWebLogicの保護が推奨されます

整理表

項目	内容
パッチ公開日	2026年7月21日
対象製品	Oracle WebLogic Server(Oracle Fusion Middlewareコンポーネント)
修正した脆弱性の件数	11件(コアコンポーネントに集中)
最高CVSSスコア	9.9(CVE-2026-60206)
認証不要で悪用可能な脆弱性	9件
攻撃プロトコル	HTTP、T3、IIOP、SOAP、SAML
影響を受けるバージョン	12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0
野外での悪用	本稿執筆時点で未確認
公開PoC	本稿執筆時点で未確認
パッチ参照先	Oracle Critical Patch Update Advisory – July 2026

CVE-2026-60206(CVSS 9.9)-スコープ変更が他製品への影響を生む

今回のWebLogic Server向けパッチで特に注目すべきはCVE-2026-60206です。CVSS v3.1のスコアが9.9に達する背景には、スコープ変更(Scope Changed、CVSSのS:C)という要素があります。

CVSSのスコープ変更とは、脆弱性の影響が脆弱なコンポーネント自体の境界を超えて、他のコンポーネントや製品にまで及ぶことを意味します。本来の最大値である10.0には届きませんが、9.9というスコアは機密性・完全性・可用性の3要素すべてに高い影響があることを意味しており、通常の完全な乗っ取りを意味するCVSS 9.8の脆弱性より理論上の被害範囲が広い評価です。

この脆弱性は低い権限さえ持つ攻撃者がHTTPプロトコル経由で悪用できるという特徴があります。完全に認証不要ではないものの、低権限というハードルは現実の攻撃環境では容易に超えられる水準です。Oracleのアドバイザリによれば、成功した攻撃はWebLogic Server自体を侵害するだけでなく、他の製品に対しても不正なアクセス、操作、情報漏洩、あるいはサービス拒否をもたらす可能性があります。

CVSS 9.8の脆弱性群-認証不要で完全乗っ取りが可能

CVE-2026-60206と並んで深刻なのが、CVSS 9.8の評価を持つ複数の脆弱性群です。CVE-2026-60205、CVE-2026-60204、CVE-2026-60202はいずれも認証不要での完全乗っ取りを可能にします。さらにCVE-2026-60198、CVE-2026-60294、CVE-2026-60200、CVE-2026-60291、CVE-2026-60292、CVE-2026-60199も同じCVSS 9.8のグループを構成しています。

これらの脆弱性は攻撃複雑さが低く(AC:L)、認証不要(PR:N)、利用者の操作も不要(UI:N)という、最も悪用されやすいCVSSプロファイルを持っています。攻撃プロトコルとしてT3とIIOPが共通して使われますが、そもそもT3はWebLogicのネイティブなJavaシリアライゼーションプロトコルであり、過去のWebLogicに対するデシリアライゼーション攻撃でも繰り返し悪用経路として確認されてきたプロトコルです。

CVSS 9.8の群に続くものとして、CVE-2026-60208はスコア9.1と若干低めですが、完全なサーバー制御ではなく機密データへのアクセスや改ざんを可能にするものです。スコアが低いからといって無視してよいわけではなく、特に個人情報や機密ビジネスデータを扱うWebLogicインスタンスにとっては重大なリスクです。

WebLogicが繰り返し標的になる背景

Oracle WebLogic Serverは、多くの企業がJavaベースの基幹業務アプリケーションを稼働させるためのミドルウェアとして広く導入されており、インターネットや社内ネットワークに直接公開される形で運用されるケースが多いという性質を持ちます。この「高い重要性」と「ネットワーク露出」の組み合わせが、攻撃者から繰り返し標的にされる構造的な理由です。

過去にはT3プロトコル経由のデシリアライゼーション攻撃が繰り返し悪用されてきた歴史があり、CISAのKEVカタログにも複数のWebLogic脆弱性が収録されています。当サイトで既報のOracle E-Business SuiteのCVE-2026-46817がパッチ配布から6週間後に悪用された事案が示すように、Oracleのエンタープライズ製品に対する攻撃者の関心は高く、パッチ公開からの武器化までの期間が短縮される傾向にあります。今回のCPUリリース前の事前通知では、WebLogicのCVSS 9.9という情報が既に流通しており、攻撃者がリバースエンジニアリングを進める動機を与えてしまっている可能性があります。

2026年7月CPU全体の規模

今回のWebLogic向けパッチはOracle全体として見ると、1,449件というCPU史上最大規模のリリースの一部です。InfoWorldの報道によれば、前回の2026年4月CPUが481件、前年同期が309件だったのに対し、今四半期は1,449件とパッチ件数が急増しており、「パッチの量はそれを処理するためのキューの容量を超えてしまっている」と指摘されています。WebLogic以外では、Oracle Fusion Middlewareが355件(全体の24.5%)、E-Business Suiteが410件(28.3%)のパッチを含みます。PeopleSoftについては、CVE-2026-35278をShinyHuntersが積極的に悪用しているという報告があり、こちらは今回のCPU中でも緊急性の高い製品として別途注意が必要です。

対処方法と暫定緩和策

まず、Oracle Critical Patch Update Advisory – July 2026が提供するパッチを速やかに適用することが最優先です。影響を受けるバージョン(12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0)のうち、自組織の環境に該当するものを確認し、各CVEのパッチ適用可能バージョンをアドバイザリで個別に確認してください。

即時のパッチ適用が困難な場合の暫定的な緩和策として、以下の2点が推奨されます。第一に、T3・IIOPおよびWebLogicの管理ポートへのアクセスをファイアウォールや接続フィルターで制限することです。WebLogic Serverには標準でweblogic.security.net.ConnectionFilterImplという接続フィルターが用意されており、このフィルターのルールを設定することでT3およびT3sプロトコルへのアクセスを制御できます。第二に、インターネットや信頼されていないネットワークからのWebLogicへの直接アクセスをファイアウォールでブロックし、WebLogic自体をDMZ(非武装地帯)の内側に配置することで攻撃対象を限定化することです。

情報システム部門への示唆

CVSS 9.9という最高水準に近いスコアと、9件が認証不要という事実は、通常のパッチ適用サイクルで対処できる脆弱性としてではなく、緊急対応を要するリスクとして扱う必要があります。当サイトで継続的に報じてきたOracle製品への攻撃傾向、とりわけOracle EBSの大規模サイバー攻撃キャンペーンやOracle Identity ManagerのCVE-2026-21992といった事例から、Oracleのエンタープライズ製品の脆弱性は公開から短期間で実際の攻撃に転用される傾向があることが示されており、今回のWebLogic向けの修正も同様の観点から早期対応を推奨します。

WebLogicを運用する組織では、まずT3/IIOPポート(デフォルト7001/7002番ポート)のインターネットへの露出状況を確認し、不要な外部アクセスを即時に遮断してください。その後パッチ適用のスケジュールを立て、可能な限り早期に適用することが望まれます。また、あわせて今回のCPUで修正されたPeopleSoftやFusion Middlewareの他製品についても影響確認を実施するとよいでしょう。