Oracleは2026年10月のクリティカルパッチアップデート（CPU）を公開しました。同社のエンタープライズ製品群全体で、新たに1,295件のセキュリティパッチが提供されます。
10月20日に公開されたこのアドバイザリには、Fusion MiddlewareとE-Business Suiteに対する広範な修正が含まれています。対象には、認証情報なしでリモートから悪用される恐れのある脆弱性も含まれます。
Fusion Middlewareには206件の新規セキュリティパッチが提供され、そのうち134件の脆弱性は、認証なしでリモートから悪用される可能性があります。E-Business Suiteには194件のパッチが提供され、認証不要のリモート脆弱性31件の修正が含まれます。
なお、これらの数値は製品ファミリーごとのパッチ件数です。同じ脆弱性が複数のOracle製品に影響し、複数のマトリックスに掲載されることがあるため、固有のCVEの数とは必ずしも一致しません。
最も深刻な問題の一つが、Oracle Access Managerの認証エンジンに存在するCVSS 10.0の脆弱性「CVE-2026-87337」です。この脆弱性は、認証もユーザー操作もなしにHTTP経由で悪用でき、機密性と完全性に大きな影響を及ぼします。
影響を受けるバージョンは12.2.1.4.0と14.1.2.1.0です。Oracleのマトリックスでは、攻撃の複雑さは低く、スコープは変更ありと評価されています。
Oracle SOA Suiteにも、最高の深刻度を持つ脆弱性が3件あります。Adaptersに存在する「CVE-2026-91231」と、Fabric Layerに存在する「CVE-2026-91216」「CVE-2026-91221」です。
Adaptersの問題にはHTTP経由で到達できます。一方、Fabric Layerの脆弱性では、T3とIIOPが攻撃経路になります。3件とも認証情報やユーザー操作は不要で、機密性、完全性、可用性のすべてに大きな影響を及ぼします。
WebLogic Serverの管理者は、「CVE-2026-91323」と「CVE-2026-83399」による重大なリスクにも直面します。どちらもCVSSスコアは9.8です。これらはCoreコンポーネントの脆弱性で、バージョン12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0が影響を受けます。
攻撃プロトコルはそれぞれHTTPとT3/IIOPです。パッチの評価では、インターネットに公開されたWebインターフェース以外も考慮する必要があることがわかります。
E-Business Suiteで特に目立つのが、Workflow Notification Mailerに影響するCVSS 10.0の脆弱性「CVE-2026-101809」です。
この脆弱性は、認証なしでHTTP経由のネットワーク攻撃を受ける恐れがあり、ユーザー操作は不要です。機密性、完全性、可用性のすべてに大きな影響があります。Oracleは、E-Business Suiteのバージョン12.2.3から12.2.15までが影響を受けるとしています。
もう一つの緊急性の高い問題が「CVE-2026-101767」です。Oracle Application Object LibraryのCoreコンポーネントに影響し、スコアは9.8です。Oracleはこのほか、Mobile Field Serviceの「CVE-2026-101634」とProduct Workbenchの「CVE-2026-101808」にも対処しました。どちらも9.1と評価されています。
いずれも低い攻撃複雑度で、認証なしのHTTP経由の悪用が可能です。インターネットに公開されている環境は、特に優先して即時の対処を検討すべきです。
E-Business Suiteのアプリケーションコンポーネントにパッチを適用するだけでは不十分です。Oracleによると、同スイートにはOracle DatabaseとFusion Middlewareのコンポーネントが組み込まれており、これらの脆弱性は別途公開されています。
実際のリスクは導入されている依存コンポーネントのバージョンによって決まります。管理者は、これらの基盤コンポーネントにも、10月の該当する更新を適用しなければなりません。
Oracleは、更新を先送りした顧客が、修正済みの脆弱性を突かれて被害に遭った事例があると警告しています。ただし、この警告は、今回新たに公表されたCVEが悪用されたことを示すものではありません。
プロトコルの一時的な制限や権限の削減により、リスクを軽減できる場合があります。ただしOracleは、こうした措置は機能に支障をきたす恐れがあり、パッチの代わりにはならないと注意を促しています。顧客は、本番環境以外で変更をテストし、サポート対象の製品リリースを使い続けるべきです。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試す
翻訳元: https://cyberpress.org/oracle-releases-massive-security-update/
