今四半期のクリティカルパッチアップデートには過去最多の修正が含まれており、32の製品ファミリーが対象となっています。
Oracleが公開した2026年7月版のクリティカルパッチアップデートは、同社史上最大規模となり、Oracle Database、E-Business Suiteから、PeopleSoft、GoldenGate、Java SE、Fusion Middlewareに至るまで、32の製品ファミリーにまたがる1,449件の新規セキュリティパッチが含まれています。
特に大きな影響を受けたのがFusion Middlewareで、355件の脆弱性に対する新規セキュリティパッチが公開されました。そのうち219件は認証不要でリモートから悪用可能、つまりユーザー認証情報を必要とせずネットワーク越しに攻撃できるというものです。このうち10件は、共通脆弱性評価システム（CVSS）で「満点」の10.0を記録しました。
これらには、HTTP経由でネットワークアクセス可能な未認証攻撃者が、Oracle Data Integrator、Oracle Access Manager、Oracle HTTP Server、Oracle Platform Security for Java、Oracle WebCenter Content、Service Delivery Platform、あるいはOracle Weblogic Server Proxy Plug-inを侵害できる、悪用が容易な脆弱性が含まれています。
これほど極端な脆弱性が見つかった製品は他にありませんでしたが、それに匹敵するほど深刻な脆弱性は他にも数多く存在しました。
Oracle Database Serverの2件の重大な欠陥
Oracleが主力データベース製品で修正した中で最も深刻な欠陥は、RDBMSコンポーネントのDBMS_CLOUDパッケージに存在するCVE-2026-61211で、CVSSスコアは9.9です。
この悪用が容易な脆弱性により、Execute DBMS_CLOUD権限を持ちOracle Net経由でネットワークアクセス可能な低権限の攻撃者が、RDBMSを侵害できるとOracleはパッチアップデートの声明で述べています。「この脆弱性はRDBMSに存在しますが、攻撃は他の製品にも大きな影響を及ぼす可能性があります（スコープの変化）。この脆弱性への攻撃が成功すると、RDBMSの乗っ取りにつながる恐れがあります」と同社は警告しています。
この欠陥はDatabase Serverのバージョン19.3から19.31、および23.4.0から23.26.2に影響します。
Greyhound Researchのチーフアナリストであるサンチット・ヴィル・ゴギア氏は、9.9というスコアは深刻ではあるものの、条件付きで受け止めるべきだと述べています。同氏によれば、実際の露出度は設定次第だといいます。顧客管理型のデータベースでは、DBMS_CLOUDはインストールされるまで存在せず、その後は権限付与とネットワークアクセスリストによって影響範囲が決まります。「DBMS_CLOUDが広範に権限付与され到達可能な状態にある場合、これは本物の緊急事態であり、対応の猶予は72時間です。存在しない場合は、加速されたデータベース更新の波に乗せれば十分でしょう」。
サイバーセキュリティ研究者でレッドチーマーのヴィブーム・デュベイ氏は、この欠陥が防御側にとって懸念すべき要素をいくつも満たしている点で目を引いたと述べています。
「データベースサーバーは組織の最も価値あるデータを保持していることが多いため、たとえ悪用が現時点で公に観測されていなくても、環境が露出しているのであれば次の定期メンテナンスの窓まで放置していい類の問題ではないと考えています」とデュベイ氏は述べています。
Database Serverの2つ目の欠陥であるCVE-2026-47040は、Oracle Net ServicesのConnection Managerに影響し、認証情報なしでリモートから悪用可能です。Oracleのリスクマトリクスでは、今回のサイクルにおいて6件のデータベース製品の脆弱性が、認証不要でネットワーク経由で到達可能なものとして記載されている、と同社の声明は付け加えています。
OpenSSL関連のTLS脆弱性であるCVE-2026-7383は、Database ServerとAutonomous Health Frameworkの2製品に影響します。両製品が同じサードパーティコンポーネントをバンドルしているためです。Oracleのアドバイザリによれば、このCVEに対するDatabase Server向けのパッチは、同じ修正にまとめてバンドルされた19件の関連OpenSSL CVEも解消するとしています。
Oracle GoldenGateには27件の新規パッチが公開され、そのうち9件は悪用に認証を必要としません。これにはEclipse Jettyに関連するBig Data and Application Adaptersコンポーネントの欠陥であるCVE-2026-2332が含まれる、と声明は付け加えています。
また、OracleのインメモリデータベースであるTimesTenにも、2件の重大な欠陥が見つかりました。
残りのリリースは、E-Business Suite、WebLogic Server、PeopleSoft、Siebel、JD Edwards、Communications、Retail Applications、Utilities Applications、MySQL、Solaris、VM VirtualBoxにまたがっています。
量的な修復
ゴギア氏は、その量そのものが変化を物語っていると指摘しています。
「1,449件のパッチという数字は、2026年4月の481件、1年前の309件と比べても、パッチ処理の負荷がそれを処理するために構築されたキューの能力を超えてしまったことを示しています」と同氏は述べています。同氏は段階的な対応を推奨しており、「到達可能で報告済みのものは72時間以内、信頼できる中核部分は10日以内、残りは10月のリリースまでにリスクに応じて対応すべきです」としています。
また同氏は、組織がE-Business Suiteの優先順位付けを行う際の特有のリスクについても指摘しています。「Oracleのアドバイザリは、E-Business Suiteの露出の一部が、E-Business Suiteのマトリクス外にある基盤となるDatabaseやFusion Middlewareのバージョンに存在することを認めています。今回のリリースで優先順位付けを誤る最も手早い方法は、信頼境界ではなく製品ロゴ単位でパッチを適用することです」。
第3火曜日、四半期サイクル
今回の7月版リリースは2026年で3回目の四半期クリティカルパッチアップデートであり、5月に導入された月次クリティカルセキュリティパッチアップデートプログラム開始後では初めてのものとなります。
ゴギア氏は、Oracleが既存の体制を置き換えるのではなく、事実上その上に新たなサイクルを重ねる形にしたと述べています。
「四半期ごとのクリティカルパッチアップデートは引き続き存続し、累積的な性質も維持されます。その上に月次のクリティカルセキュリティパッチアップデートが加わる形です」と同氏は述べ、「認証取得義務、リグレッションのリスク、専門人員の不足」を理由に、この新たなリズムへの企業側の対応はまだ低調にとどまっていると付け加えました。
デュベイ氏も組織の対応態勢について同様の見解を示しています。「大企業において、パッチ適用が技術的な問題であることはめったにありません。むしろ運用上の問題です。データベース管理者、アプリケーション担当者、インフラチーム、事業部門の関係者、そして変更諮問委員会が、すべて足並みを揃える必要があります」。
Gartnerのプリンシパルアナリストであるニヤティ・ダフタリー氏は、今回のリリースがパッチ適用に対するアプローチのより大きな変化を浮き彫りにしていると述べています。
「パッチ適用は、もはやすべての脆弱性を解消するための競争ではありません。最も重要な露出を特定し、可能な限り効率的にビジネスリスクを低減するための規律です」と同氏は述べ、組織は露出度、事業への影響、悪用可能性に基づいて優先順位を付け、インターネットに面した資産とミッションクリティカルなシステムから着手すべきだと付け加えました。
ダフタリー氏は、CVSSスコアが「実際の企業リスクではなく理論上の深刻度を測るものである」ため、継続的な脅威エクスポージャー管理（CTEM）と敵対的エクスポージャー検証が、ますます重要性を増すフレームワークになっていると指摘しています。パッチ適用だけでは十分ではなく、組織は行動ベースの脅威検知やインシデント対応を含む多層防御への投資を継続すべきだ、とダフタリー氏は述べています。
Oracleの次回の累積クリティカルパッチアップデートは2026年10月20日に予定されており、より小規模なクリティカルセキュリティパッチアップデートが8月18日と9月15日に実施される予定です。
