Oracleは2026年8月のCritical Security Patch Update(重要セキュリティパッチ更新)を公開し、同社製品全体で943件の新規セキュリティパッチを提供しました。
今回のリリースでは、Oracle WebLogic Server、Hyperion Enterprise Performance Management製品群、Fusion Middlewareサービスを運用する企業に対し、即座の対応が求められています。これらの製品にはリモートから悪用可能な脆弱性が存在し、企業の重要な業務システムが侵害される恐れがあります。
Oracleは、過去に修正済みだったOracle製品の脆弱性が、更新プログラムを適用していない組織で実際に攻撃者に悪用された事例があると指摘し、顧客に対して速やかに修正プログラムを導入するよう呼びかけています。
今回の影響を受ける製品の中でも、特に重要なのがWebLogic Serverです。OracleはWebLogic Server 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0にわたり、コアコンポーネントに存在する複数の深刻な欠陥を修正しました。
これらのうち複数は認証なしでリモートから悪用可能であり、CVSSスコアは9.8に達しています。つまり、未認証の攻撃者がネットワーク経由で機密性・完全性・可用性を侵害できる可能性があるということです。
CVE-2026-60698はIIOP経由でWebLogic Server Coreに影響を及ぼし、CVE-2026-60672とCVE-2026-60696はT3およびIIOP経由で公開されるCoreサービスに影響します。
Oracleは、RMI経由のWLS Core Componentsに存在するCVE-2026-60977も修正しています。これら4件の重大な脆弱性はいずれもCVSSスコア9.8で、認証を必要としないため、外部に公開されているミドルウェア環境ではパッチ適用を最優先に行う必要があります。
CVE-2026-60702は特に注目に値します。CVSSスコアが9.9と高く、同じく広範なWebLogicバージョンに影響を及ぼすためです。
ただし、Oracleのリスクマトリクスによれば、この脆弱性の悪用には低権限での認証が必要とされており、認証不要の9.8の脆弱性群とは性質が異なります。それでも悪用に成功した場合、機密性・完全性・可用性に及ぼす影響は大きいとされています。
今回のアドバイザリのうちFusion Middleware部分には262件の新規セキュリティパッチが含まれており、そのうち182件はOracleが「認証なしでリモートから悪用可能」と分類する脆弱性です。
その対象範囲はWebLogicにとどまらず、Oracle Internet Directory、Identity Manager、Managed File Transfer、Reports Developer、WebCenter製品群、Access Manager、SOA Suite、Web Services Manager、Unified Directory、Virtual Directoryにまで及んでいます。
Fusion Middleware関連で最も深刻な問題は、Oracle Internet Directory LDAP Serverに存在するCVSSスコア10.0のCVE-2026-61241です。この脆弱性は認証情報なしでリモートから悪用可能であり、バージョン12.2.1.4.0および14.1.2.1.0に影響します。
Oracleのアイデンティティ基盤を運用している組織は、特にLDAPサービスが信頼できないネットワークからアクセス可能な状態にある場合、この問題を緊急のパッチ適用案件として扱うべきです。
今回のアップデートはHyperion Calculation Manager、Data Relationship Management、Financial Management、Financial Reporting、Infrastructure Technology、Profitability and Cost Managementもカバーしています。
影響を受けるリリースにはHyperion 11.2.25.0.0が含まれ、Data Relationship Managementについてはバージョン11.2.23.0.0も対象として挙げられています。Hyperion環境は財務計画、レポーティング、連結決算、コストデータの処理を担うことが多く、攻撃者にとって価値の高い標的となります。
セキュリティチームは該当するOracleのパッチ文書を確認し、導入済みの製品バージョンと依存関係を特定した上で、本番環境への展開前に非本番環境で修正内容を検証する必要があります。
Oracleは、脆弱なプロトコルの遮断や不要な権限の削除といった一時的な緩和策はリスク低減に役立つ可能性があるものの、アプリケーションの機能に支障をきたす恐れがあり、根本的な欠陥そのものを修正するものではないと警告しています。
組織は、インターネットに公開されているWebLogic、LDAP、T3、IIOP、RMIの各サービスを棚卸しし、不要な露出を制限した上で、運用上可能な限り速やかにサポート対象のパッチを適用すべきです。
セキュリティチームに、不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/oracle-security-update-patches/
