セキュリティ
専門家によれば、AIによるバグハンティングの時代が到来しており、防御側はより多忙な業務量に適応せざるを得ないといいます
Oracle管理者にとっては受難の日となりました。Big Red（Oracleの愛称）がまさに1,449件ものセキュリティパッチをリリースし、適用を待っている状態です。
このパッチ群は同社の四半期セキュリティ修正の一環として公開されたもので、この過去最多の件数は、Oracleが4月に発表した脆弱性検出へのAI活用強化の取り組みを一部反映しているとみられます。
Oracleは膨大な製品ポートフォリオを抱えており、今回のパッチは多数の製品にまたがっているため、この総数自体はさほど驚くべきことではないでしょう。
むしろThe Registerの取材に応じた専門家たちは、パッチ件数について懸念があるとすれば、それはOracleのコード品質にではなく、パッチ適用を担う管理者たちにこそ向けられるべきだという点で一致した見解を示しています。
社内発見と社外発見のCVE
Oracleの謝辞欄をざっと見ると、今回の更新で対処された脆弱性のうち、外部の研究者が発見者としてクレジットされているのはわずか64件にとどまっています。これは、バグハンティングの大部分が社内で行われ、おそらくAIツールの支援を受けていたことを示唆しています。
Huntressのセキュリティ運用担当シニアマネージャー、Dray Agha氏は次のように述べています。「過去最多の1,449件というパッチ件数は一見不安を煽るものですが、これは主に現代のソフトウェアエコシステムの規模の大きさと、業界全体が積極的な自動セキュリティスキャンへとシフトしていることを反映しています」
「率直に言えば、本当の問題はバグの件数そのものではなく、重大な脅威と日常的な修正とを、業務運用を止めることなく選別しなければならない企業ITチームにかかる、途方もない運用負荷なのです」
Pentest-Tools.comのリードセキュリティ研究者であるMatei Badanoiu氏など他の専門家は、こうした大量のセキュリティ更新の一括リリースは、主にAI支援によるバグハンティングを背景に、今後の常態になっていく可能性が高いと指摘しています。
Microsoftの毎月恒例のPatch Tuesday更新も、ここ数か月で規模が急拡大しており、それは予告なしのことではありませんでした。
7月には過去最多となる622件のCVEが記録され、当時過去最多だった6月の206件を大きく上回りました。Microsoftはその数日前に警告を発しており、脆弱性検出におけるAIの役割拡大が防御側をさらに多忙にすると述べていました。
MicrosoftのWindows担当副社長Pavan Davuluri氏はブログ投稿で、「AIが防御側による問題発見を後押しすることで、顧客は各セキュリティリリースに含まれるセキュリティ更新の量が増加するのを目にすることになるでしょう」と記しています。
Davuluri氏はさらに、Microsoftが各種の自動パッチ適用ツールを提供していることに触れ、かつてない量のセキュリティ修正を適用する負担が増し続ける中、顧客にそれらのツールの活用を促しました。
同様に、Oracleの統合サイバーセンター（Integrated Cyber Center）もブログ投稿で、パッチ適用業務の規模に圧倒されていると感じている顧客に対し、My Oracle Support、Technical Account Management、Customer Successといった各種チームが提供するサポートリソースの活用を呼びかけています。
脆弱性検出におけるAIへの大きな賭けは、Oracleが顧客へパッチを届ける方法そのものの見直しにもつながっています。2026年5月より、Oracleは四半期ごとの更新に加え、発見した中で特に重大なバグに対応するための月次パッチバッチの提供を開始しました。
「Critical Security Patch Updates（CSPU）」と名付けられたこの取り組みでは、より小規模ながら頻度の高いパッチが提供され、防御側が最も差し迫った脅威に遅れず対応できるようになります。
Oracleは次のように述べています。「このアプローチにより、顧客は累積更新を通じた既存の四半期パッチ適用サイクルを継続してサポートされつつ、重大な修正をオンプレミス環境でより迅速に適用できるようになります」
優先度の高いパッチ
1,449件のパッチのうち、CVSSスコアが最大値の10.0だったのはわずか10件で、いずれもOracle Fusion Middlewareに影響を及ぼすものでした。
このうち2件は、オランダの国家サイバーセキュリティセンター（NCSC）により特に危険性が高いとして強調されています。CVE-2026-47056とCVE-2026-60217です。
いずれの脆弱性もCommon Weakness Enumeration（CWE）識別子には分類されていませんが、両方とも容易に悪用可能と説明されています。
認証を受けていない攻撃者は、CVE-2026-47056をHTTP経由で悪用することでOracle Data Integratorを乗っ取ることが可能で、CVE-2026-60217はTCP経由で同様にOracle Coherenceに対して悪用可能です。
NCSC-NLは顧客に対し可能な限り速やかに更新を適用するよう強く促し、次のように述べています。「脆弱性の内容によっては、攻撃者は悪意あるコードを実行したり、機密データを閲覧したり、システムを完全に乗っ取ったりすることが可能です。深刻度の高さと認証の欠如により、悪用のリスクは高い状態にあります」
一方Badanoiu氏は、Oracle Database Serverに影響を及ぼす脆弱性の中で最も評価の高い2件、CVE-2026-61211（スコア9.9）とCVE-2026-47040（スコア9.1）について特に懸念していると当社に語りました。
「Oracle Net Serviceに存在するCVE-2026-47040は、認証なしで悪用可能な脆弱性につながり、攻撃者は保存されているあらゆるデータへのアクセス権を得るとともに、サービスを継続的にクラッシュさせるリスクをもたらします」と同氏は説明しています。
「そしてDBMS_CLOUDパッケージに存在するCVE-2026-61211は、今回のパッチ群の中で最も高いスコアを持ち、低権限の攻撃者がリモートコード実行とOracleのRDBMSの乗っ取りを達成できるだけでなく、そのデータベースを利用する他の製品にも波及的な影響を及ぼす可能性があります」®
