SECURITY
1月に公表され、間もなくハニーポットが攻撃を検知していたにもかかわらず、CISAはようやく米連邦政府にこの穴を塞ぐよう求めています
人気記事
米サイバーセキュリティ・インフラセキュリティ庁(CISA)が、悪用が確認された脆弱性に対して再び3日間という、同庁が設ける中で最も切迫した期限を課しました。今回の標的は、Windows仮想マシンに影響する最大深刻度のOracleのバグです。
CVE-2026-21962(深刻度10.0)として追跡されているこの脆弱性は、不適切なアクセス制御(CWE-284)に分類され、OracleのHTTP ServerおよびWebLogic Server Proxy Plug-inに影響します。
CVE-2026-21962を狙った攻撃が成功すると、攻撃者は重要データへのアクセス権を作成・削除・変更できるようになり、さらには影響を受けるシステムに保存された全データへの「完全なアクセス」を獲得することも可能になります。
Oracleは2026年1月20日の更新の一環として、CVE-2026-21962を公表し、パッチを提供しました。当時Oracleは、バージョン12.2.1.4.0、14.1.1.0.0、14.1.2.0.0が影響を受けるとしたうえで、この脆弱性は低い複雑度の攻撃で悪用され得ると説明していました。
CISAは8月24日、CVE-2026-21962を既知の悪用された脆弱性(KEV)カタログに追加し、連邦政府の文民行政機関(FCEB)に対して、攻撃への対策を3日以内に講じるよう求めました。これは同庁が設定可能な期限の中で最も厳しいものです。
最近、同様に3日間の期限が課されたバグとしては、Pythonのスケーリングフレームワークである「Ray」に存在する深刻なリモートコード実行(RCE)の欠陥が挙げられます。この脆弱性は2025年に公表されていたにもかかわらず、CISAは先週になってKEVカタログに追加しました。
N-ableの「ゴッドモード」脆弱性も、攻撃者にN-centralコンソールへの「完全な管理者アクセス」を許してしまうものであり、同社によれば7月31日時点で既に悪用されていました。CISAが8月3日にこの脆弱性をKEVカタログに追加した際も、同様に3日間の期限が設定されています。
CISAがOracleのCVE-2026-21962をKEVカタログに追加したのは月曜日、つまり最初の公表から7カ月が経過してからのことでしたが、民間企業からの報告によると、攻撃者は年内のもっと早い段階からこのバグに目をつけていたとみられています。
CloudSEKのサイバーインテリジェンスアナリスト、Vikas Kundu氏は、CVE-2026-21962が公表され、実証コードが公開されて間もない1月22日から2月3日までの12日間、ハニーポットを運用しました。
このハニーポットは、同脆弱性を悪用しようとする攻撃に加え、2020年や2017年にまでさかのぼる他のWebLogicのRCEバグを狙った攻撃も捕捉しました。
「全体的な活動の特徴は、大量かつ自動化されたスキャンで、libredtail-httpやNmap Scripting Engineといったツールが悪意あるトラフィックの大半を占めていました」と同氏は述べています。
「さらにログからは、WebLogic固有ではない脆弱性(例えばHikvisionのCVE、PHPUnitのRCE、汎用的なコマンドインジェクションなど)を狙う試みを含む、かなりのノイズも確認されました。これは、脅威アクターが広範囲に手当たり次第攻撃を仕掛ける『スプレー・アンド・プレイ』的な手法を取っていることを示しています」
Kundu氏は、この調査結果は当時、組織がこの脆弱性へのパッチ適用を最優先すべき「重大かつ差し迫った必要性」を示すものだったと述べています。®
