Oracleは最近、Oracle Identity ManagerとOracle Web Services Managerの両方に影響する重大なリモートコード実行（RCE）の脆弱性に関する緊急のセキュリティアラートを発行しました。
CVE-2026-21992として追跡されているこの脆弱性により、攻撃者はユーザー認証を必要とせずにシステムをリモートで侵害できます。
これらの影響を受けたFusion Middlewareコンポーネントを利用している組織は、潜在的なシステム乗っ取りを防ぐために直ちに対応する必要があります。
CVE-2026-21992の発見は、これらのエンタープライズプラットフォームが受信ネットワークリクエストをどのように処理するかの重大な弱点を浮き彫りにしています。
この悪用には事前の認証が必要ないため、脅威アクターは単に特別に細工されたネットワークパケットをターゲットシステムに送信することができます。
攻撃者がこの欠陥を正常に悪用した場合、ホストサーバー上で直接任意のコードを実行できます。
このシステムアクセスの深いレベルにより、脅威アクターはマルウェアを展開し、機密の企業アイデンティティデータを流出させ、または内部エンタープライズネットワークにさらに侵入することができます。
セキュリティチームは、Oracleが共通脆弱性スコアリングシステム（CVSS）バージョン3.1を使用してこの欠陥の重要度を評価していることに注意すべきです。
アドバイザリーは脅威アクターによる即座のリバースエンジニアリングを防ぐために、悪用の段階的な技術的仕組みを意図的に隠していますが、結果として生じるリスクマトリックスは重要なコンテキストを提供します。
この脆弱性は標準ネットワークプロトコルをトリガーします。つまり、管理者が必要なアップデートを適用するまで、HTTPSなどのセキュアプロトコルバリアントも同様に悪用されるリスクにさらされています。
影響を受けるソフトウェアおよびパッチの詳細
このセキュリティアップデートは、2つの主要なOracle Fusion Middlewareプロダクトの脆弱性に対応しています。
管理者は現在のデプロイメントバージョンを以下のリストと照合し、環境をセキュアにするために対応するパッチドキュメントを取得する必要があります。
- Oracle Identity Manager: 影響を受けるバージョンは12.2.1.4.0および14.1.2.1.0を含み、管理者はCVE-2026-21992を解決するためにFusion Middlewareドキュメント（KB878741）を参照する必要があります。
- Oracle Web Services Manager: 影響を受けるバージョンは12.2.1.4.0および14.1.2.1.0を含み、軽減命令のために同じFusion Middlewareパッチドキュメント（KB878741）が必要です。
これらのサポートウィンドウから外れたソフトウェアイテレーションは、この特定の脆弱性についてのテストを受けていません。
しかし、Oracleは、影響を受けるリリースの以前のバージョンはほぼ確実に同じ基本的な欠陥を持っていると警告しています。
ライフサイクル終了バージョンを使用している組織は、脅威を適切に軽減する前に、サポートされているリリースにアップグレードする必要があります。
Fusion Middlewareのデプロイメントを管理する管理者は、更新プロセス中のシステムの安定性を確保するためにソフトウェアエラー修正サポートポリシーに従う必要があります。
高度な持続的脅威は日常的にOracleアドバイザリーを監視して新しい悪用チェーンを構築しているため、即座のパッチ展開はこのRCE欠陥に対する唯一の信頼できる防御のままです。
組織は、アイデンティティ管理インフラストラクチャ全体にわたって堅牢なセキュリティ体制を維持するために、これらのアップグレードを優先する必要があります。
翻訳元: https://gbhackers.com/oracle-fixes-high-severity-rce-vulnerability/
