Oracle、WebLogic重大脆弱性を含む943件の脆弱性を修正

Oracleの2026年8月の月例パッチ公開では、エンタープライズ向けソフトウェア製品群全体で943件の脆弱性が修正されました。 

これらのうち複数の重大なWebLogic Serverの欠陥は、認証を経ずにリモートから攻撃者が脆弱なシステムを侵害できるおそれがあるものです。  

Oracle 2026年8月セキュリティアップデートの要点

• Oracleは2026年8月のセキュリティアップデートの一環として、エンタープライズ向けソフトウェア製品群全体で943件の脆弱性を修正
• WebLogic Serverの複数の重大な脆弱性は認証なしでリモートから悪用可能で、T3、IIOP、RMI経由で到達可能なCVSS 9.8の欠陥を含む
• CVE-2026-60702はCVSSスコア9.9を記録し、既存のアクセス権を持つ低権限の攻撃者がWebLogic環境をさらに侵害できる可能性
• Oracle Fusion Middlewareでは262件のセキュリティ修正が行われ、うち182件は認証なしでリモートから悪用可能な脆弱性への対応
• CVE-2026-61241は最大値であるCVSSスコア10.0を記録し、Oracle Internet DirectoryのLDAP Serverコンポーネントに影響

Oracle WebLogicの脆弱性について 

Oracleの8月のアップデートは、Database、Fusion Middleware、E-Business Suite、Java SE、MySQL、PeopleSoftなど、エンタープライズ向け製品群全体にわたる脆弱性を修正するものです。 

最も重大な修正のいくつかはOracle WebLogic Serverに関するもので、リモートから悪用可能な脆弱性により、ビジネスクリティカルなアプリケーションや機密データが侵害されるおそれがあります。

CVE-2026-60698 

CVE-2026-60698は、CVSSスコア9.8の重大なWebLogic Server Coreの脆弱性で、IIOP経由で認証なしにリモートから悪用可能です。 

CVE-2026-60672

CVE-2026-60672は、T3およびIIOP経由で到達可能なCVSS 9.8のWebLogic Server Coreの欠陥です。 

認証されていないリモート攻撃者がこの脆弱性を悪用し、影響を受けるWebLogic環境を侵害するおそれがあります。

CVE-2026-60696

CVE-2026-60696も同様にCVSSスコア9.8を記録しており、T3およびIIOPを介してWebLogic Server Coreに影響します。 

この脆弱性は認証を必要とせず、リモート攻撃者が影響を受けるサーバー上のデータやサービスを侵害できる可能性があります。

CVE-2026-60977

OracleはCVE-2026-60977にも対応しました。これはWebLogic Server WLS Core Componentsに影響するCVSS 9.8の脆弱性です。 

この欠陥はRMI経由でもリモートから悪用可能であり、対象サービスが信頼できないネットワークに公開されている場合、別の攻撃経路を提供することになります。 

CVE-2026-60702

今回のリリースで修正されたWebLogicの脆弱性の中で最も深刻なCVE-2026-60702は、CVSSスコア9.9を記録し、T3およびIIOPを介してWebLogic Server Coreに影響します。 

悪用には低権限での認証が必要ですが、既にアクセス権を持つ攻撃者がこの欠陥を利用して、対象環境をさらに侵害する可能性があります。 

Fusion Middlewareには262件のセキュリティ修正

8月のアップデートはWebLogicにとどまらず、Oracle Fusion Middlewareにも262件のセキュリティパッチが提供されました。うち182件は認証なしでリモートから悪用可能な脆弱性への対応です。 

CVE-2026-61241

最も重大な欠陥の一つがCVE-2026-61241で、Oracle Internet DirectoryのLDAP Serverコンポーネントに存在するCVSS 10.0の脆弱性です。 

LDAPサービスへのネットワークアクセスを持つ認証されていない攻撃者は、有効な認証情報なしに対象システムをリモートから悪用できます。 

Oracleは、本記事公開時点でこれらの脆弱性の悪用が確認されているとは報告していません。

Oracleのセキュリティリスクを低減する方法 

組織は、システムの露出度、脆弱性の深刻度、影響を受けるワークロードの重要度に基づいて、修正対応の優先順位を決めるべきです。 

• 最新の修正パッチを適用し、悪用可能性、露出度、ビジネス上の重要度に基づいてインターネットに公開されたサーバーを優先すること。
• 不要なT3、IIOP、RMI、管理アクセスを制限または無効化すること。ネットワーク制御、VPN、許可リスト、専用の管理ネットワークなどを活用します。
• WebLogicサーバーをセグメント化し、アウトバウンド接続を制限することで、侵害後の横方向移動や攻撃者によるコマンド&コントロール活動を抑制すること。
• 特権アクセスを強化し、露出した機密情報を見直すこと。管理者アカウント、サービス認証情報、APIキー、証明書、データベース認証情報などが対象です。
• 侵害の兆候を調査すること。Webシェル、想定外のプロセス、改ざんされたアプリケーション、新規アカウント、不審な展開、異常なネットワーク接続などを確認します。
• セキュリティテレメトリを一元管理し保存すること。WebLogic、オペレーティングシステム、認証システム、WAF、ネットワーク制御からのデータを検知・調査に活用します。
• インシデント対応計画をテストし、攻撃シミュレーションツールや机上演習を実施すること。

これらの対策を組み合わせることで、WebLogicへの攻撃に対する露出を減らしつつ、悪用やその後の侵害に対する耐性を強化できます。 

結論

Oracleの2026年8月のリリースは、大規模な四半期パッチサイクルを単なるパッチ件数のカウント作業ではなく、リスク優先順位付けの取り組みとして捉える必要があることを改めて示すものです。 

WebLogicおよびFusion Middlewareにおいて、認証不要でリモートから悪用可能な欠陥が集中していることから、外部への露出度、プロトコルの到達可能性、資産の重要度が修正対応の順序を決める上での重要な要因となります。 

セキュリティチームはさらに、脆弱なミドルウェアが漏れなく棚卸しされているか、パッチ適用が遅れる場合に代替の統制を実施できるか、そして悪用の試みを検知できるだけの検知体制が整っているかを確認する必要があります。

ゼロトラストソリューションは、アクセスを継続的に検証し被害範囲を限定することで、露出をさらに低減する助けとなります。