Oracleは2026年7月の四半期クリティカルパッチアップデート(CPU)で1,400件を超える脆弱性を修正しました。これらの欠陥の大多数は、人工知能によって特定された可能性が高いとみられています。
Oracleによると、今回の四半期CPUには1,449件のセキュリティパッチが含まれており、334製品にわたる1,434件の固有のCVEに対応しています。
脆弱性が修正された製品には、Database Server、APEX、Autonomous Health Framework、Essbase、Global Lifecycle Management、GoldenGate、NoSQL Database、Spatial Studio、SQL Developer、TimesTen In-Memory Database、Application Testing Suite、Commerce、Communications、Construction and Engineering、E-Business Suiteなどが含まれます。
Enterprise Manager、Financial Services Applications、Food and Beverage Applications、Fusion Middleware、Analytics、HealthCare Applications、Hospitality Applications、Java SE、JD Edwards、MySQL、PeopleSoft、Retail Applications、Siebel CRM、Supply Chain、Systems、Utilities Applications、Virtualization向けのセキュリティ修正プログラムも公開されています。
パッチのうち約600件は、認証なしでリモートから悪用可能な脆弱性を対象としたものです。数百件のセキュリティホールには、緊急(クリティカル)の深刻度が割り当てられています。
修正された脆弱性の件数が最も多かったのは、E-Business Suite(410件)、Fusion Middleware(355件)、Communications(168件)、PeopleSoft(84件)でした。
外部の研究者が発見者としてクレジットされている脆弱性はわずか数十件にとどまることを踏まえると、今回新たに修正された欠陥の大多数は社内で発見されたものであり、その過程でAIの支援を受けていた可能性が高いといえます。
Oracleは今年初め、AnthropicのClaude MythosやOpenAIの最先端モデルを含む最上位のAIシステムを利用できる環境にあり、脆弱性の発見とパッチ適用の迅速化・精度向上にこれらを活用していることを明らかにしていました。
同社は、このAI主導の脆弱性対応の取り組みを、自社のソフトウェアやサービス、Oracle Health、さらに自社で開発・依存しているオープンソースコンポーネントにも適用していると述べています。
Oracle製品の脆弱性は脅威アクターによる攻撃で悪用されることが多いため、各組織はできるだけ早く最新のパッチを適用する必要があります。実際の事例としては、PeopleSoftのゼロデイ脆弱性の悪用や、最近修正されたEBS脆弱性などが挙げられます。
