Oracle、四半期セキュリティ更新（2026年7月CPU）で1,449件のパッチを公開-脆弱性発見の大半はAIによるものと推察|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

Oracleは2026年7月21日、四半期定例のCritical Patch Update（CPU）を公開しました。今回のCPUには1,449件の新規セキュリティパッチが含まれており、334製品にわたる1,434件の固有CVEに対処しています。このうち約600件は認証不要でネットワーク経由から遠隔悪用が可能な脆弱性であり、数百件がCritical（深刻）の評価を受けています。外部の研究者がクレジットされたCVEは数十件程度にとどまっており、大多数はOracle社内、おそらくはAIを活用した手法で発見されたとみられています。

サマリー

2026年7月CPUに1,449件のセキュリティパッチ、1,434件のユニークCVEが含まれる
対象は334製品ファミリーにまたがる
約600件は認証不要での遠隔悪用（Remote Exploit without Authentication）が可能
修正件数の多い製品: E-Business Suite（410件）、Fusion Middleware（355件）、Communications（168件）、PeopleSoft（84件）
Database Serverでは最大CVSSスコア9.9のCVE-2026-61211を含む15件を修正
OracleはAI（Claude MythosおよびOpenAIのモデル）を活用して脆弱性発見を加速していると公表済み
Oracle製品の脆弱性は攻撃者に積極的に悪用されており、適用の早急な実施が求められる

項目	内容
公開日	2026年7月21日
パッチ総数	1,449件（新規セキュリティパッチ）
ユニークCVE数	1,434件
対象製品数	334製品
遠隔悪用可能（認証不要）件数	約600件
修正件数上位	E-Business Suite（410件）、Fusion Middleware（355件）、Communications（168件）
次回四半期CPU	2026年10月20日

過去最大規模に近い修正件数――AIが脆弱性発見を加速

今回の1,449件という修正件数は、Oracleの四半期CPUとして大規模な部類に入ります。注目すべきは、外部の研究者やバグバウンティ経由でクレジットされた脆弱性が全体の数十件にとどまっている点です。Credit Statementを確認すると、外部貢献者は約50名前後であり、対処された1,434件のCVEの大半はOracle社内チームが発見しています。

Oracleは今年の初め、Claude MythosやOpenAIの最先端モデルを含むAIシステムを活用して脆弱性の発見・対処を加速していることをブログで公表しています。同社はこのAI活用を自社ソフトウェア、Oracle Health、そして自社が開発・依存するオープンソースコンポーネントに横断的に展開しているとしています。外部研究者のクレジットが少ない今回の構成は、こうしたAI主導の内部脆弱性発見が大規模に機能していることを示す傍証として注目されます。

製品ファミリー別の修正件数

修正件数が最も多かった製品ファミリーはOracle E-Business Suite（EBS）の410件です。次いでFusion Middlewareが355件、Communicationsが168件、PeopleSoftが84件と続きます。

E-Business SuiteとFusion Middlewareの合計だけで全体修正件数の半数以上を占めており、これらの製品を運用している情報システム部門は特に影響範囲の確認を急ぐ必要があります。なお、当サイトで既報のOracle EBSに関する脆弱性の悪用事例から間もない時期でもあり、EBSのパッチ適用は最優先事項として位置づけるべきです。

Oracle PeopleSoftについては、ハッカーグループShinyHuntersが100組織超・300インスタンス以上に不正アクセスした大規模攻撃も発生しており、84件のPeopleSoft向けパッチについても迅速な適用が求められます。

Database Serverの主要な脆弱性

Database Serverファミリーでは今回15件の新規セキュリティパッチが提供されています。このうち最も深刻なのがCVE-2026-61211で、CVSS v3.1基本スコアは9.9です。

CVE-2026-61211はRDBMSのExecute DBMS_CLOUDコンポーネントに存在し、Oracle Net経由で低い権限を持つ正規ユーザーが機密性・完全性・可用性のすべてに影響を与える攻撃を実行できます。影響バージョンはDatabase Server 19.3〜19.31および23.4.0〜23.26.2です。

認証不要で遠隔悪用が可能なものとしては、CVE-2026-47040（CVSS 9.1）が特に目を引きます。Oracle Net ServicesのConnection Manager(CMAN)コンポーネントに存在し、認証なしでネットワーク越しに可用性と機密性への高い影響を与える攻撃が成立します。影響バージョンは19.3〜19.31、21.3〜21.22、23.4.0〜23.26.2と広範囲にわたります。

GoldenGateファミリーでも27件のパッチが提供されており、うちCVE-2026-2332（CVSS 9.1、GoldenGate Big Data and Application AdaptersのEclipse Jetty依存コンポーネント）が認証不要で遠隔悪用可能な最高スコアとなっています。

Oracleの脆弱性は攻撃者に積極的に悪用されている

Oracleは今回のアドバイザリでも、パッチの迅速な適用を強く勧告しています。その背景には、Oracleが公開済みパッチの悪用を繰り返し観測してきた実績があります。Oracle自身が「パッチ適用を怠った顧客が攻撃を受けた事例が複数報告されている」と明示しています。

実際、Nissan北米がOracle PeopleSoftのゼロデイ（CVE-2026-35273、CVSS 9.8）を悪用した攻撃の影響を受けた事例も報告されており、攻撃者がOracle製品のCVEを迅速に武器化する実態が確認されています。今回の7月CPUに含まれるパッチも、公開後すぐに攻撃者の分析対象となることを前提に対応計画を立てる必要があります。

対応の優先順位と次回スケジュール

今回のCPUに含まれる1,449件すべてを短期間で検証・適用することは現実的ではないため、以下の観点で優先順位を設定することが有効です。インターネットに露出しているコンポーネントに含まれる、認証不要で遠隔悪用可能な脆弱性を最初の優先群に置くことが基本です。Database Server、GoldenGate、E-Business Suite、Fusion Middleware、PeopleSoftを利用している環境では、各製品の公式パッチ可用性ドキュメントを参照のうえ、段階的な適用計画を立案してください。

なお、Oracleは2026年から月次でCritical Security Patch Update（CSPU）も提供しています。四半期CPUとCSPUを組み合わせたパッチ管理カレンダーへの対応が情報システム部門に求められます。次回の四半期CPUは2026年10月20日を予定しており、それ以前のCSPUは8月18日と9月15日に予定されています。