今回のセキュリティ更新では17の製品ファミリーにわたり673件のパッチが提供され、そのうちFusion MiddlewareではCVSS 10.0の欠陥5件と9.9評価の欠陥13件が含まれています。
Oracleの2026年9月Critical Security Patch Update（緊急セキュリティパッチ更新）が公開され、17のOracle製品ファミリーにわたって673件の新しいセキュリティパッチが提供されました。最も多くのパッチが適用されたのはOracle E-Business Suiteで159件、続いてFusion Middlewareの153件となっています。このうち、E-Business Suiteの19件とFusion Middlewareの78件の脆弱性は、認証なしで遠隔から悪用可能です。
今回のリリースで50件以上の問題が修正されたその他の製品カテゴリには、Oracle Database Server、Oracle Communications、Oracle Analyticsが含まれます。
Oracleは最近、パッチ提供のペースを四半期ごとから月次へと加速させました。同社は顧客に対し、9月のパッチを直ちに適用するよう勧告しており、利用可能な修正を適用していない顧客のソフトウェアに対する攻撃の成功報告が今も続いていると警告しています。
Fusion Middlewareに存在する最大深刻度の欠陥5件
9月の更新では、Fusion Middleware内にあるCVSSスコア最大値10.0の重大な脆弱性5件が修正されています。
対象となるのはOracle Access Manager（CVE-2026-71133）、Oracle Forms（CVE-2026-83099）、Oracle Internet Directory（CVE-2026-83059）、Oracle Platform Security for Java（CVE-2026-83020）、Oracle WebLogic Server（CVE-2026-83021）です。
この5件はいずれもネットワーク経由で認証なしに遠隔から悪用可能で、攻撃の複雑さは低く、権限もユーザーの操作も必要としません。
今回の更新ではさらに、6件目のCVSS 10.0の脆弱性としてOracle Hyperion Financial Managementの脆弱性（CVE-2026-87230）も修正されました。これも認証なしで遠隔から悪用可能です。
また今回の更新には、最大深刻度にわずかに届かないCVSSスコア9.9のFusion Middlewareの不具合13件も含まれています。これらには、Oracle Access ManagerのCVE-2026-71163とCVE-2026-73945、Oracle Internet DirectoryのCVE-2026-83055、CVE-2026-83057、CVE-2026-83056、Oracle WebCenter PortalのCVE-2026-83058、CVE-2026-73948、CVE-2026-83039、Service Delivery PlatformのCVE-2026-82999、CVE-2026-82997、CVE-2026-82998、そしてOracle WebCenter Sites（CVE-2026-83031）とOracle WebLogic Server（CVE-2026-83038）にそれぞれ1件が含まれます。
これらのうち、認証なしで遠隔から悪用可能なものはありません。しかし低い権限を必要とするだけでネットワークからアクセス可能であり、機密性と完全性への影響は高いものとなり得ます。
Oracleは、CVSS 10.0の6件と9.9の13件の脆弱性のいずれについても、実際の攻撃で悪用されたという情報はないとしています。
Fusion Middlewareは、Oracleの最近のパッチサイクルでも目立って取り上げられてきました。7月の更新ではCVSS 10.0の脆弱性10件が修正されており、この製品ファミリーが最大深刻度の欠陥にたびたび見舞われている実態が浮かび上がっています。
Oracleのパッチ適用に関するメッセージはパッチそのものと同じくらい重要
Oracleによれば、パッチを適用するまでの間、顧客は攻撃に必要なネットワークプロトコルをブロックしたり、不要な権限やパッケージへのアクセスを削除したりすることで、リスクを軽減できるとしています。しかし同社は、こうした対策がアプリケーションの機能を損なう可能性があるため、まずは本番環境以外のシステムでテストするよう注意を呼びかけています。また、これらの対策は根本的な脆弱性そのものに対処するものではないため、長期的な解決策とみなすべきではないと、Oracleは9月の緊急パッチ更新に関する勧告の中で述べています。
この勧告には、古いOracleリリースを使用している組織への警告も含まれています。同社によれば、修正はサポート対象バージョンにのみ提供されており、「Premier SupportまたはExtended Supportの対象外となっている製品リリースについては、本Critical Security Patch Updateで対処された脆弱性の有無について検証を行っていない」としています。
また、これまでのセキュリティ更新を適用してこなかった組織に対しては、9月のリリースがこれまでの積み残しをすべて解消していると思い込むのではなく、過去のCSPUや四半期ごとのCritical Patch Updateを確認するようOracleは勧めています。
この記事はCIOに最初に掲載されました。
Shwetaは2017年からエンタープライズテクノロジーについて執筆しており、直近ではCSO onlineでサイバーセキュリティを取材していました。ランサムウェアからゼロトラストアーキテクチャに至るまで、複雑なトピックを専門家にも一般読者にもわかりやすく解説しています。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得し、サイバー脅威の解読に忙しくない時は、フィクションを読んだり、映画を観たり、新しいレシピに挑戦したりして過ごしています。
