Oracle、9月CSPUで673件の新規セキュリティパッチを公開 CVSS 10.0の脆弱性が6件、247件は認証不要でリモート悪用可能(CVE-2026-71133)他|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月17日更新日時: 2026年09月17日

Oracleは2026年9月15日、月次のCritical Security Patch Update（CSPU）を公開しました。17の製品ファミリーを対象に673件の新規セキュリティパッチを提供しています。

Oracleのリスクマトリクスを製品ファミリー別に集計すると、247件は認証なしでネットワーク経由から悪用可能とされています。Oracle Fusion MiddlewareではCVSS v3.1の基本値が10.0となる脆弱性が5件、Oracle Hyperionでは1件確認されており、いずれも認証不要でネットワーク経由から悪用可能です。

Oracle 2026年9月CSPUのサマリー

確認できている内容：

Oracleは2026年9月15日、September 2026 Critical Security Patch Updateを公開しました。
17の製品ファミリーを対象に、673件の新規セキュリティパッチを提供しています。
製品ファミリー別のOracle公式値を合計すると、247件が認証不要でネットワーク経由から悪用可能です。
パッチ数が多いのはOracle E-Business Suiteの159件、Oracle Fusion Middlewareの153件、Oracle Hyperionの102件です。
Oracle Fusion MiddlewareではCVSS 10.0の脆弱性が5件確認されています。
Oracle Hyperion Financial ManagementでもCVSS 10.0のCVE-2026-87230が修正されています。
CVSS 10.0の6件はいずれも認証不要でネットワーク経由から悪用可能です。
Oracleは今回のアドバイザリで、これら新規脆弱性が実際の攻撃で悪用されているとは公表していません。
Oracleはサポート中のバージョンを利用し、セキュリティパッチを遅滞なく適用するよう推奨しています。

項目	内容
公開日	2026年9月15日
更新	September 2026 Critical Security Patch Update
新規セキュリティパッチ	673件
対象	17製品ファミリー
認証不要でリモート悪用可能	247件（Oracleの製品ファミリー別公表値を合計）
最大CVSS	10.0
CVSS 10.0	6件
実際の攻撃での悪用	Oracleの今回のアドバイザリでは公表されていません
次回CPU	2026年10月20日

17製品ファミリーに673件の新規セキュリティパッチ

OracleのSeptember 2026 CSPUは、Database Server、E-Business Suite、Fusion Middleware、Java SEなど17の製品ファミリーを対象としています。

製品ファミリー別のパッチ数と、認証不要でリモート悪用可能とされた件数は以下の通りです。

製品ファミリー	新規パッチ数	認証不要でリモート悪用可能
Oracle Database Server	11	5
Oracle Autonomous Health Framework	2	1
Oracle Application Testing Suite	3	0
Oracle Commerce	27	16
Oracle Communications	31	23
Oracle E-Business Suite	159	19
Oracle Enterprise Manager	7	5
Oracle Financial Services Applications	6	2
Oracle Fusion Middleware	153	78
Oracle Analytics	50	8
Oracle Hyperion	102	50
Oracle Java SE	3	3
Oracle PeopleSoft	16	4
Oracle Siebel CRM	63	26
Oracle Supply Chain	19	5
Oracle Utilities Applications	2	1
Oracle Virtualization	19	1
合計	673	247

パッチ数ではOracle E-Business Suiteが159件で最多です。次いでOracle Fusion Middlewareが153件、Oracle Hyperionが102件となっています。

認証不要のリモート悪用が可能とされた脆弱性はFusion Middlewareが78件、Hyperionが50件、Siebel CRMが26件、Communicationsが23件です。

CVSS 10.0の脆弱性は6件

Oracle公式のリスクマトリクスでは、CVSS v3.1の基本値が10.0となる脆弱性を6件確認できます。

CVE	製品	コンポーネント	CVSS	認証不要リモート悪用	影響バージョン
CVE-2026-71133	Oracle Access Manager	Authentication Engine	10.0	可能	12.2.1.4.0、14.1.2.1.0
CVE-2026-83099	Oracle Forms	Forms Services, C/S, Charmode	10.0	可能	12.2.1.19.0、14.1.2.0.0
CVE-2026-83059	Oracle Internet Directory	OID LDAP Server	10.0	可能	12.2.1.4.0、14.1.2.1.0
CVE-2026-83020	Oracle Platform Security for Java	Centralized Thirdparty Jars	10.0	可能	12.2.1.4.0、14.1.2.0.0
CVE-2026-83021	Oracle WebLogic Server	Web Container	10.0	可能	12.2.1.4.0、14.1.1.0.0、14.1.2.0.0
CVE-2026-87230	Oracle Hyperion Financial Management	Security	10.0	可能	11.2.26.0.000

Fusion Middlewareの5件は、攻撃元からネットワーク経由で到達でき、認証情報を必要とせず、ユーザー操作も不要とされています。CVE-2026-71133、CVE-2026-83099、CVE-2026-83059、CVE-2026-83020、CVE-2026-83021はいずれも、機密性・完全性・可用性への影響がHighで、ScopeはChangedです。

CVE-2026-87230はOracle Hyperion Financial ManagementのSecurityコンポーネントに影響します。認証なしでHTTP経由から悪用可能で、機密性と完全性への影響がHigh、ScopeはChangedと評価されています。

Oracle Fusion Middlewareでは153件を修正、78件は認証不要でリモート悪用可能

Oracle Fusion Middlewareでは153件の新規セキュリティパッチが提供されました。このうち78件は認証不要でネットワーク経由から悪用可能です。

対象にはOracle Access Manager、Oracle Forms、Oracle Identity Manager、Oracle Internet Directory、Oracle WebLogic Server、Oracle WebCenterなどが含まれます。

特にCVSS 10.0の5件はいずれも認証を必要とせず、Oracleのリスクマトリクス上ではAttack VectorがNetwork、Attack ComplexityがLow、Privileges RequiredがNoneとなっています。

Oracle WebLogic ServerではCVE-2026-83021がCVSS 10.0として掲載されています。対象バージョンは12.2.1.4.0、14.1.1.0.0、14.1.2.0.0です。

E-Business Suiteは159件、Hyperionは102件を修正

Oracle E-Business Suiteでは159件の新規セキュリティパッチが提供され、そのうち19件は認証不要でリモート悪用可能です。

Oracle Hyperionでは102件が修正され、50件が認証不要でリモート悪用可能とされています。今回のCSPUで認証不要のリモート脆弱性が多い製品ファミリーの一つです。

Hyperion Financial ManagementのCVE-2026-87230はCVSS 10.0で、HTTP経由から認証なしで悪用可能とされています。

実際の攻撃での悪用は今回のアドバイザリでは公表されていない

Oracleは今回のSeptember 2026 CSPUで、新たに修正した脆弱性について実際の攻撃での悪用を確認したとは記載していません。

一方、Oracleは過去に提供済みのセキュリティパッチを適用していない環境が攻撃され、攻撃者が侵害に成功した事例が報告されているとして、サポート中のバージョンを利用し、セキュリティパッチを遅滞なく適用するよう推奨しています。

CISAのKnown Exploited Vulnerabilities（KEV）Catalogについても、2026年9月16日時点で今回確認したCVSS 10.0の6件について掲載を確認できませんでした。KEV非掲載は「悪用不可能」や「攻撃が存在しない」ことを意味するものではありません。

情報システム部門が確認したいポイント

今回のCSPUは対象製品が広いため、673件を一律に評価するより、自社で利用している製品とバージョンを先に特定する方が実務的です。

まず、Oracle Fusion Middleware、E-Business Suite、Hyperion、Siebel CRM、Communicationsを利用している環境では、今回のリスクマトリクスと自社バージョンを照合します。特に外部ネットワークから到達可能なシステムでは、認証不要でリモート悪用可能とされた脆弱性を優先して確認します。

CVSS 10.0の6件については、Oracle Access Manager、Oracle Forms、Oracle Internet Directory、Oracle Platform Security for Java、Oracle WebLogic Server、Oracle Hyperion Financial Managementの利用有無と対象バージョンを確認できます。

Oracleは一時的なリスク低減策として、攻撃に必要なネットワークプロトコルを遮断する方法や、不要な権限・パッケージへのアクセスを削除する方法を挙げています。ただし、いずれも機能へ影響する可能性があり、根本的な修正ではないとして、非本番環境で検証したうえでセキュリティパッチを適用するよう案内しています。

過去のOracle更新については、以下の記事も参照できます。