セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

Oracleは2026年5月28日、2026年5月のCritical Security Patch Update、CSPUを公開しました。 今回のCSPUでは、Oracle Database Server、Oracle REST Data Services、Oracle Communications Unified Assurance、Oracle E-Business Suite、Oracle Hospitality OPERA 5 Property Servicesの5製品ファミリーを対象に、35件の新規セキュリティパッチが提供されています。 特に注意が必要なのは、Oracle REST Data ServicesのBackend-as-a-Serviceコンポーネントに存在するCVE-2026-46840です。CVSS v3.1の基本値は10.0で、認証なしでネットワーク経由から悪用可能とされています。 また、Oracle E-Business SuiteのOracle Payments、Oracle Hospitality OPERA 5 Property Services、Oracle Database ServerのNet Service、Oracle Communications Unified AssuranceのApache Kafka関連コンポーネントなどにも、高深刻度の脆弱性が含まれています。 この記事のサマリー Oracleは2026年5月28日、2026年5月のCritical Security Patch Updateを公開しました。 今回のCSPUは、Oracleが月次CSPUを開始してから最初のリリースです。 5つのOracle製品ファミリーに対し、35件の新規セキュリティパッチが提供されています。 Oracle REST Data ServicesのCVE-2026-46840はCVSS 10.0で、未認証のリモート攻撃が可能とされています。 Oracle E-Business Suiteでは12件のパッチが提供され、Oracle PaymentsのCVE-2026-46817はCVSS 9.8です。 Oracle Database Serverでは3件すべてが未認証でリモート悪用可能とされ、23.x Oracle Homeへの適用が必要です。 Oracle Hospitality OPERA 5 Property Servicesでは、CVE-2026-34311がCVSS 9.8で修正されています。 情報システム部門は、EBS、ORDS、Database 23.x、OPERA 5、Unified Assuranceの利用有無と外部公開状況を優先確認する必要があります。 何が起きたか Oracleは2026年5月のCSPUとして、5製品ファミリーに対する35件の新規セキュリティパッチを公開しました。 対象製品は以下です。 製品ファミリー 対象バージョン 新規パッチ数 未認証でリモート悪用可能な脆弱性 Oracle Database Server 23.4.0〜23.26.2 3 3 Oracle REST Data Services 24.2.0〜26.1.0 11 7 Oracle Communications Unified Assurance 6.1.1〜7.0.0 8 4 Oracle E-Business Suite 12.2.3〜12.2.15 12 3 Oracle Hospitality OPERA 5 Property Services 5.6.19.24、5.6.22、5.6.25.19、5.6.27.6、5.6.28 1 1 Tenableの分析では、今回の35件のうち11件がCritical、18件がHigh、6件がMediumに分類されています。もっともパッチ数が多い製品ファミリーはOracle E-Business Suiteで、12件が提供されています。 修正された主な重大脆弱性 CVE 製品 コンポーネント CVSS 未認証リモート悪用 概要 CVE-2026-46840 Oracle REST Data Services Backend-as-a-Service 10.0 可能 機密性・完全性・可用性に高い影響 CVE-2026-46817 Oracle E-Business Suite Oracle Payments / File Transmission 9.8 可能 決済関連コンポーネントに影響 CVE-2026-34311 Oracle Hospitality OPERA 5 Property Services Opera 9.8 可能 OPERA 5 Property Servicesに影響 CVE-2026-46833 Oracle Database Server Net Service 9.0 可能 TLS経由で悪用可能、23.x Oracle Homeが対象 CVE-2026-33557 Oracle Communications Unified Assurance Apache Kafka 9.1 可能 Message Busに影響 CVE-2026-46775 Oracle REST Data Services Core 9.9 不可 低権限ユーザーで悪用可能 CVE-2026-46839 Oracle REST Data Services Core 9.9 不可 低権限ユーザーで悪用可能 CVE-2026-46822 Oracle E-Business Suite Oracle iAssets 9.9 不可 低権限ユーザーで悪用可能 CVE-2026-46824 Oracle E-Business Suite Oracle Universal Work Queue 9.9 不可 低権限ユーザーで悪用可能 特に注意すべき脆弱性 CVE-2026-46840：Oracle REST Data ServicesのCVSS 10.0脆弱性 今回のCSPUで最も深刻なのは、Oracle REST Data Services、ORDSのCVE-2026-46840です。 対象はOracle REST Data Services 24.2.0〜26.1.0です。コンポーネントはBackend-as-a-Serviceで、HTTPS経由で認証なしに悪用可能とされています。CVSS v3.1の基本値は10.0です。 ORDSは、Oracle DatabaseへREST APIでアクセスするために使われることがあります。APEX、社内API、業務システム連携、外部公開API、モバイルアプリ連携などに利用される場合があるため、インターネットや社外ネットワークから到達可能なORDS環境は優先的に確認してください。 ORDSが侵害された場合、単なるWebアプリケーションの問題ではなく、背後のOracle Databaseや業務データへ影響が及ぶ可能性があります。ORDSを利用している企業は、バージョン確認、外部公開状況、認証設定、アクセスログを確認する必要があります。 CVE-2026-46817：Oracle E-Business SuiteのOracle Paymentsに影響 CVE-2026-46817は、Oracle E-Business SuiteのOracle Paymentsに存在する脆弱性です。 対象バージョンはOracle E-Business Suite 12.2.3〜12.2.15です。コンポーネントはFile Transmissionで、HTTP経由で認証なしに悪用可能とされ、CVSS v3.1の基本値は9.8です。 E-Business Suiteは、財務、購買、在庫、人事、給与、決済など、基幹業務に関わるシステムとして利用されることがあります。Oracle Paymentsに影響する脆弱性は、決済・支払・送金関連の業務データや内部処理に関係する可能性があるため、EBSを利用している企業では優先度を高く見てください。 Oracleは、E-Business Suite製品がOracle DatabaseやOracle Fusion Middlewareのコンポーネントにも依存するため、EBS環境ではEBS本体だけでなく、関連するDatabaseとFusion Middlewareの更新も確認するよう案内しています。 CVE-2026-46833：Oracle Database Server 23.xのNet Serviceに影響 Oracle Database Serverでは3件の脆弱性が修正されました。いずれも未認証でリモート悪用可能とされています。 中でもCVE-2026-46833は、Net Serviceに存在するCVSS 9.0の脆弱性です。影響バージョンはOracle Database Server 23.4.0〜23.26.2で、TLS経由で悪用可能とされています。 Oracleは、これら3件のDatabase Server脆弱性について、Database、Grid、Clientを含むすべての23.x Oracle Homeへパッチを適用する必要があると説明しています。また、データベース自体が23.xより前のバージョンであっても、23.x Gridの下で稼働している場合、Grid側へパッチを適用するまで影響を受けるとされています。 この点は見落としやすいため、DBサーバだけでなく、Grid Infrastructure、クライアント専用インストール、管理サーバ、バッチサーバ、アプリケーションサーバ上のOracle Clientも確認してください。 CVE-2026-34311：OPERA 5 Property Servicesに影響 CVE-2026-34311は、Oracle Hospitality OPERA 5 Property Servicesに存在する脆弱性です。 対象バージョンは、5.6.19.24、5.6.22、5.6.25.19、5.6.27.6、5.6.28です。HTTP経由で認証なしに悪用可能とされ、CVSS v3.1の基本値は9.8です。 OPERAはホテルや宿泊施設の管理システムとして使われることがあります。宿泊予約、顧客情報、施設運営、会計、チェックイン・チェックアウトなどに関係するため、脆弱性が悪用された場合、業務停止や顧客情報への影響が懸念されます。 宿泊施設やホテル運営会社は、OPERA 5 Property Servicesのバージョン、外部公開状況、ベンダー保守状況、ネットワーク分離を確認してください。 CVE-2026-33557：Oracle Communications Unified Assuranceに影響 CVE-2026-33557は、Oracle Communications Unified AssuranceのMessage Bus、Apache Kafkaに関係する脆弱性です。 対象バージョンは6.1.1〜7.0.0で、TCP経由で認証なしに悪用可能とされ、CVSS v3.1の基本値は9.1です。 Oracle Communications Unified Assuranceは、通信・ネットワーク運用監視に関係する製品です。通信事業者や大規模ネットワーク運用環境で使われる可能性があり、Message Busの脆弱性は監視基盤や運用データの処理に影響する恐れがあります。 影響範囲 今回のCSPUで対象となる製品は、一般的なエンドユーザーPC向けソフトウェアではなく、企業の基幹システムや業務基盤に使われるOracle製品です。 確認対象は以下です。 確認対象 見落としやすいポイント Oracle REST Data Services APEX、API基盤、社内外公開REST APIで使われる場合があります Oracle Database Server 23.x DatabaseだけでなくGrid、Client、管理サーバのOracle Homeも確認が必要です Oracle E-Business Suite EBS本体に加え、DatabaseとFusion Middlewareコンポーネントも確認が必要です Oracle Communications Unified Assurance 通信・ネットワーク監視基盤に含まれる場合があります Oracle Hospitality OPERA 5 ホテル・宿泊施設の現場システムとして運用部門が管理している場合があります 外部委託環境 SIer、保守ベンダー、運用委託先がパッチ適用を担当している場合があります DR・検証環境 本番より古いOracle環境が残っている可能性があります Oracleは、Premier SupportまたはExtended Supportの対象バージョンにのみCSPUを提供します。サポート対象外バージョンでは、今回修正された脆弱性の有無が検査されていない場合があります。そのため、古いOracle製品を継続利用している場合は、サポート対象バージョンへの移行も必要です。 すぐに実施すべき対応 Step 1：対象Oracle製品の利用有無を確認する まず、自社で今回の対象製品を利用しているか確認してください。 対象は、Oracle Database Server、ORDS、EBS、Communications Unified Assurance、OPERA 5 Property Servicesです。情報システム部門の台帳だけではなく、業務部門、経理部門、人事部門、ホテル・施設運営部門、通信・ネットワーク運用部門、外部保守ベンダーにも確認してください。 製品 主な確認部門 Oracle Database Server 情シス、DBA、アプリ運用、基盤チーム Oracle REST Data Services 開発、API基盤、APEX管理、Web運用 Oracle E-Business Suite 経理、人事、購買、ERP運用 Oracle Communications Unified Assurance ネットワーク運用、通信基盤、監視チーム Oracle Hospitality OPERA 5 ホテル運営、施設システム、現地IT Step 2：外部公開されているOracle製品を優先する 今回のCSPUでは、未認証でリモート悪用可能な脆弱性が複数含まれています。 優先的に確認すべきなのは、インターネット、取引先ネットワーク、VPN経由、拠点間ネットワークから到達可能なOracle製品です。 確認項目 内容 インターネット公開 ORDS、EBS、OPERA、管理画面が外部公開されていないか VPN経由アクセス VPN接続後にEBSやDatabaseへ広く到達できないか API公開 ORDSのREST APIが外部サービスから利用されていないか ホテル拠点 OPERA 5が現地ネットワークから外部接続されていないか 通信基盤 Unified Assuranceの管理系ポートが広く開いていないか クラウド環境 セキュリティグループやロードバランサで公開されていないか Step 3：Oracle REST Data Servicesを優先更新する ORDSを利用している場合、CVE-2026-46840のCVSS 10.0を優先して確認してください。 特に、以下の環境は早急な対応が必要です。 環境 理由 インターネット公開ORDS 未認証リモート悪用可能な脆弱性の影響が大きい APEX連携環境 ORDSがAPEXの入口になっている可能性があります 社外API連携 取引先や外部システムから到達可能な場合があります 認証前API 認証前の処理が攻撃対象になる可能性があります 古いORDS 24.2.0〜26.1.0が対象のためバージョン確認が必要です Step 4：Oracle Database 23.x Oracle Homeを確認する Database Serverの3件は、すべて未認証でリモート悪用可能とされています。 Oracleは、Database、Grid、Clientを含むすべての23.x Oracle Homeへパッチを適用する必要があると説明しています。 確認対象は以下です。 対象 確認内容 Database Home 23.4.0〜23.26.2に該当するか Grid Infrastructure 23.x Gridを使っていないか Client Home アプリケーションサーバや管理端末のOracle Client RAC環境 全ノードに同じパッチが適用されているか 監視・バックアップサーバ Oracle Clientが古いまま残っていないか 古いDB + 23.x Grid DB本体が古くても23.x Grid配下なら注意が必要です Step 5：E-Business SuiteはEBS本体だけでなく周辺も確認する EBSでは12件のパッチが提供されています。うち3件は未認証でリモート悪用可能です。 EBS環境では、Oracle E-Business Suite本体に加えて、Oracle DatabaseとOracle Fusion Middlewareコンポーネントも影響する可能性があります。 確認対象 内容 EBS 12.2.3〜12.2.15 対象バージョンか Oracle Payments CVE-2026-46817の影響確認 Internet Procurement Connector CVE-2026-46819の影響確認 Oracle Payroll 複数の高深刻度脆弱性を確認 Database EBSのDB基盤に今回のDatabaseパッチが必要か Fusion Middleware EBSに含まれるミドルウェア側の更新確認 EBSは業務停止の影響が大きいため、検証環境での適用確認、バックアップ、ロールバック手順、業務部門との停止調整が必要です。 Step 6：サポート対象外バージョンを棚卸しする Oracleは、CSPUのパッチ提供対象をPremier SupportまたはExtended Supportの対象バージョンとしています。 サポート対象外のOracle製品は、今回の脆弱性に影響するか検査されていない可能性があります。特に、古いEBS、古いDatabase、古いOPERA、旧ORDS、保守切れの業務システムは棚卸しが必要です。 確認項目 内容 サポート契約 Premier SupportまたはExtended Support対象か 製品バージョン 今回のCSPU対象か パッチ入手可否 My Oracle Supportから取得できるか ベンダー保守 SIerや運用委託先の適用計画 移行計画 サポート対象バージョンへの移行時期 例外管理 すぐ移行できない環境のネットワーク分離 監視で確認すべきポイント 今回のCSPUで修正された脆弱性について、Oracleのアドバイザリは個別の実悪用状況を詳細には公表していません。一方で、Oracleは、過去に修正済みの脆弱性を攻撃者が悪用し、パッチ未適用の顧客環境で攻撃が成功した事例があるとして、速やかな適用を強く推奨しています。 パッチ適用とあわせて、以下を確認してください。 製品 確認すべきログ・兆候 ORDS 不審なHTTP/HTTPSリクエスト、認証前APIへの大量アクセス、500エラー増加 EBS Oracle Payments、Payroll、iAssets、Procurement関連の不審操作 Database Listener、Net Service、TLS接続、異常な接続元 OPERA 5 外部からのHTTPアクセス、不審な管理操作、宿泊施設拠点からの異常通信 Unified Assurance Kafka、ActiveMQ、Tomcat、ZooKeeper関連の異常ログ WAF・プロキシ Oracle製品のURLに対するスキャン、攻撃文字列、連続試行 SIEM パッチ公開後のOracle関連スキャン増加 Oracle製品のパッチ管理で注意すべき点 Oracle製品のパッチ適用では、単にパッチをダウンロードして適用するだけでは不十分です。 製品ごとに停止時間、依存関係、DBパッチ、ミドルウェアパッチ、アプリケーションパッチ、クライアント側更新が異なります。特にEBSやDatabaseでは、業務影響が大きいため、事前検証とロールバック手順が重要です。 項目 確認内容 影響調査 対象製品・バージョン・コンポーネントを洗い出す 優先順位 未認証リモート悪用可能、CVSS 9以上、外部公開を優先 検証環境 本番と同等構成でパッチ適用テスト バックアップ DB、アプリケーション、設定、Oracle Homeのバックアップ 停止調整 業務部門、外部ベンダー、利用者への周知 ロールバック パッチ適用失敗時の戻し手順 適用確認 バージョン、パッチID、ログ、動作確認 監視強化 パッチ適用前後の不審アクセスを確認 今後確認すべきこと Oracleは今後も月次CSPUを提供します。2026年の次回以降のセキュリティリリースは、2026年6月16日がCSPU、2026年7月21日が四半期CPU、2026年8月18日がCSPU、2026年9月15日がCSPUとされています。 Oracle製品を利用する企業は、四半期CPUに加え、月次CSPUもパッチ管理カレンダーへ組み込む必要があります。 今後確認すべき項目は以下です。 確認点 理由 月次CSPUの運用化 四半期CPUだけでは重要修正を待つことになる Oracle製品の棚卸し EBS、ORDS、OPERA、Database、Clientが分散しているため 外部公開状況 未認証リモート悪用可能な脆弱性の影響が大きいため サポート対象バージョン サポート外ではCSPUが提供されない可能性があるため My Oracle Support確認 製品ごとのパッチ適用手順がMOS文書に分かれているため 委託先との責任分界 Oracle製品は外部ベンダーが運用していることが多いため 参考情報・出典 Oracle：Oracle Critical Security Patch Update Advisory - May 2026 Oracle Security Blog：May 2026 Critical Security Patch Update Released Oracle Security Blog：Monthly Critical Security Patch Updates Begin May 28, 2026

ブログ