米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、実際の悪用が確認されたとして、Oracle HTTP Serverの重大な脆弱性を既知の悪用された脆弱性(KEV)カタログに追加しました。
CVE-2026-21962として追跡されているこの脆弱性は、Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inに影響します。CISAはこれを不適切なアクセス制御の問題と説明しており、未認証の攻撃者が有効な認証情報なしに重要データへアクセスし、改ざんできる可能性があるとしています。
この追加は2026年8月24日に発表され、連邦機関が拘束的運用指令(BOD)26-04の下で優先的に対応しなければならないセキュリティ上の脆弱性リストに加わりました。
Oracle HTTP Serverは企業環境でWeb層のコンポーネントとして広く導入されており、多くの場合、Oracle WebLogic Serverアプリケーションや業務上重要なサービスのフロントエンドとして機能しています。
そのため、プロキシプラグイン層の脆弱性は、管理者がインターネットから直接アクセスできないと考えているバックエンドのアプリケーションやデータストアに対して、攻撃者が侵入する経路を作り出す可能性があります。
CVE-2026-21962が特に懸念される点は、悪用に認証を必要としないことです。脆弱なエンドポイントに到達できる攻撃者は、意図されたアクセス制限を回避し、機密情報を取得したり、対象システムが扱うデータを改ざんしたりできる可能性があります。
導入されているアーキテクチャや連携するアプリケーションによっては、業務記録、設定データ、ユーザー情報、アプリケーションコンテンツへの不正な変更といった被害が発生する可能性もあります。
CISAはKEVの発表において、技術的な悪用の詳細、侵害の痕跡(IoC)、攻撃者の特定情報は公開していません。
しかし、同庁がこの脆弱性をカタログに追加したこと自体が、活発な悪用、明確な脆弱性識別子、実行可能な修復ガイダンスというカタログの重大リスク基準を満たしていることを裏付けています。
BOD 26-04の下で、各機関はリスクベースのアプローチによる脆弱性管理を実施しなければなりません。
同指令は、公開されている資産に影響し、悪用に成功すれば攻撃者が対象システムを完全に制御できる恐れがあるKEV掲載の不具合について、迅速な修復を重視しています。
CISAは声明で、該当するケースにおいて、パッチが適用される前に脅威アクターがシステムを侵害していなかったかどうかを各機関が確認することも求めていると述べています。
セキュリティチームは、インターネットに公開されているOracle HTTP ServerおよびWebLogic Server Proxy Plug-inの導入状況を直ちに特定し、インストールされているバージョンを確認した上で、利用可能なパッチや緩和策についてOracleのセキュリティ勧告を参照する必要があります。
また、リバースプロキシの設定、アクセスログ、アプリケーションログ、データ整合性に関するアラートを確認し、不審な未認証リクエストや予期しない改ざんの痕跡がないか点検することも重要です。
直ちにパッチを適用できない場合は、管理用エンドポイントやプロキシエンドポイントへのアクセスを制限し、ネットワーク制御によってアクセスを限定するほか、可能であれば対象サービスを認証済みゲートウェイの背後に配置することでリスクを低減すべきです。
修復が完了するまでは、Oracle Webティアインフラを標的とする異常なリクエストの監視を強化する必要があります。
セキュリティチームに、疑わしい活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/cisa-warns-oracle-http-server-flaw/
