Oracleは2026年3月19日、CVE-2026-21992に対するSecurity Alertを公開しました。対象はOracle Identity ManagerとOracle Web Services Managerで、この脆弱性は認証不要でリモートから悪用可能であり、攻撃に成功するとリモートコード実行につながる可能性があるとしています。Oracleは、提供した更新または緩和策をできるだけ早く適用するよう強く推奨しています。
概要
今回のCVE-2026-21992は、Oracle Identity Managerでは REST WebServices、Oracle Web Services Managerでは Web Services Security コンポーネントに影響します。Oracleによると、HTTP経由で認証なしに悪用可能です。OracleはSecurity Alertの中で、成功した場合にリモートコード実行につながる可能性があると明記しています。
脆弱性の対象バージョン
OracleのSecurity Alertで影響対象として明示されているのは、Oracle Identity Managerの 12.2.1.4.0 と 14.1.2.1.0、Oracle Web Services Managerの 12.2.1.4.0 と 14.1.2.1.0 です。いずれも現在サポート対象のバージョンに対して、今回のSecurity Alert経由で修正が提供されています。
また、OracleはPremier SupportまたはExtended Supportの対象外バージョンについては、今回のSecurity Alertで脆弱性有無の検証は行っていないとしつつも、影響を受けるリリースのより古い版も影響を受ける可能性が高いとして、サポート対象版へのアップグレードを推奨しています。
対策
現時点でOracleが一般公開ページ上に 修正版バージョン という形で新しい製品番号を示しているわけではなく、サポート対象の 12.2.1.4.0 と 14.1.2.1.0 に対してSecurity Alert用の修正を適用する構成です。そのため実務上は、対象バージョンを使っているか確認したうえで、Oracleが案内するFusion Middleware向けパッチを適用する流れになります。
関連記事
Oracle Cloudへの不正アクセスと情報漏洩 疑惑、Oracle Fusion Middlewareの脆弱性を悪用か(CVE-2021-35587)
Oracle、Oracle Cloudへのサイバー攻撃による情報漏洩を再度否定、「無関係な旧式サーバー2台への不正アクセスのみ」
Oracle、不正アクセスによる情報漏洩を一部顧客に非公開で通知-訴訟提起直後の“静かな認定”に波紋
Oracle Health、サイバー攻撃により情報漏洩の可能性
ハッカーがOracle Cloudへ不正アクセスし600万件の情報窃取を主張、Oracleは否定
IBM Verify Access/Verify Identity Accessに複数の脆弱性(CVE-2025-36356)
Oracle E-Business Suiteの脆弱性 CVE-2025-61884がKEV入り-事前認証RCEチェーンのCVE-2025-61882も要注意
Oracle(オラクル)、EBS「Oracle Marketing」に未認証で乗っ取り可能な脆弱性（CVE-2025-53072／CVE-2025-62481）
CISAがOracle Identity Managerの脆弱性「CVE-2025-61757」をKEVに追加
