Oracleの四半期パッチが過去最多1455件、WebLogicなどに無認証で乗っ取りの脆弱性（2026年7月）

オラクル（Oracle）が2026年7月の四半期セキュリティ更新（Critical Patch Update、CPU）を公開しました。修正は過去最多となる1,455件にのぼり、この中にはログイン不要で、ネットワーク越しにサーバーを丸ごと乗っ取れる危険度10.0（最高値）の脆弱性が複数含まれます。とくに影響が大きいのは、企業システムの土台として広く使われるOracle WebLogic Server・Oracle Coherence・Oracle Access Managerなどの「Fusion Middleware」製品群です。

これらの製品を使っている場合、とりわけインターネットに公開しているサーバーは早急な対応が必要です。WebLogicをはじめとするOracleミドルウェアは、過去にも公開直後から世界規模で狙われ、実際に乗っ取り被害が多発してきた「常連の標的」です。何が公開されたのか、どれを優先して塞ぐべきかを整理します。

Oracleの「四半期パッチ（CPU）」とは

OracleのCritical Patch Update（CPU）は、同社が3か月ごと（1月・4月・7月・10月）にまとめて公開するセキュリティ修正です。データベース、Java、WebLogicなどのミドルウェア、E-Business SuiteやPeopleSoftといった業務システムまで、Oracleの膨大な製品群の脆弱性を一度に修正するため、1回で数百〜千件超という規模になります。今回の2026年7月版は1,455件という過去最多の規模でした。

件数が多いぶん「自社に関係するものだけ」を見極める必要がありますが、注意すべきは危険度が最高で、しかもログイン不要（無認証）で悪用できるものです。今回はこの条件に当てはまる欠陥が多数あり、Oracle自身もできるだけ早い適用を強く推奨しています。とくにFusion Middlewareは359件の修正のうち224件がリモートから無認証で悪用可能とされ、最高値10.0がOracle Access Manager・WebLogic Server・Coherenceに付いています。

誰が、何のために狙うのか

こうしたOracleミドルウェアの無認証脆弱性を狙うのは、インターネットに公開されたWebLogicなどのサーバーを機械的に探し回る攻撃者です。ランサムウェアの攻撃者や、企業への侵入を狙う組織的なグループにとって、WebLogicのような広く使われる基幹ミドルウェアは格好の入口です。修正が公開されると、その差分から手口が短期間で推測され、まだ更新していないサーバーが一斉に狙われます。

攻撃者は、ログインもせずにサーバー上で任意のプログラムを実行し、システムを丸ごと乗っ取ろうとします。乗っ取りに成功すれば、そのサーバーが扱う業務データの窃取、ランサムウェアによる暗号化・恐喝、社内ネットワーク深部への侵入の足がかりなどにつながります。WebLogicは実際に、過去のCPUで修正された脆弱性が公開後すぐに悪用され、米CISAの「実際に攻撃されている脆弱性リスト（KEV）」に何度も登録されてきた実績があります（当サイトのWebLogicの悪用事例のまとめも参照）。

被害はサーバー管理者だけの問題ではありません。基幹システムやミドルウェアが乗っ取られれば、そこに連なる業務全体、顧客情報、取引先とのデータ連携までが危険にさらされます。だからこそ、次に示す優先順位で早急に対処する必要があります。

とくに急ぐべき「無認証で乗っ取り」系（代表例）

今回の1,455件のうち、まず優先すべきはログイン不要でネットワーク越しに悪用でき、成立するとサーバーを完全に掌握されるものです。以下は、その代表例です（危険度・悪用条件はNVDの記載に基づく）。いずれも修正は2026年7月のCPUに含まれます。

これらはあくまで代表例で、Oracleの発表ではOracle Access ManagerやWebLogic Server本体にも最高値10.0の欠陥があると案内されています。加えて、100件を超える侵害に悪用されたと報じられるPeopleSoftの欠陥や、Oracle Identity Managerなどの修正も今回のCPUに含まれます。件数が膨大なため、自社が使う製品については必ずOracleの公式一覧で該当CVEを確認してください。

自社に関係するか、どれを優先するか

1,455件すべてが自社に関係するわけではありません。まず「自社が使っているOracle製品」を洗い出し、その製品に該当するCVEだけをCPUの製品別一覧で確認します。そのうえで、次の順で優先度を判断すると効率的です。

とくにWebLogicは、外部との通信に使う専用プロトコル（T3／IIOP）を悪用する攻撃が繰り返し報告されています。すぐにパッチを当てられない場合でも、これらのプロトコルや管理画面をインターネットから直接触れられないよう、通信の入口を絞ることで、狙われる面を大きく減らせます。

いま何をすればいいのか

対処の基本は、2026年7月のCPUを適用することです。OracleのCritical Patch Update Advisory（2026年7月）に、製品別の該当CVEと入手先がまとめられています。まずは自社が使う製品を特定し、上の優先順位に沿って、インターネットに公開したミドルウェアから順に適用してください。

すぐに適用できない事情がある場合は、つなぎの措置として、WebLogicなどの管理コンソールやT3／IIOP通信をインターネットから遮断する・アクセス元を限定することが有効です。ただしこれは時間稼ぎにすぎず、根本的な対処はパッチ適用です。あわせて、身に覚えのない管理者アカウントの追加や不審な通信がないか、すでに侵害されていないかの点検も行っておくと安全です。

本記事の公開時点で、今回のCPUで修正された個々の脆弱性について大規模な実悪用の確定報告は確認していませんが、WebLogic級のミドルウェアは公開後の悪用が早いことで知られます。米政府CISAの「実際に攻撃されている脆弱性リスト」に載っていないかは、攻撃中の脆弱性を追う一覧（日本語版）で確認できます。

まとめ

Oracleの2026年7月の四半期パッチ（CPU）は、過去最多の1,455件を修正する大規模なものでした。中でも危険なのは、ログイン不要でサーバーを乗っ取れる危険度10.0の脆弱性が、WebLogic Server・Coherence・Access Managerなど広く使われるミドルウェアに存在する点です。Fusion Middlewareだけで359件、うち224件がリモートから無認証で悪用可能とされ、E-Business SuiteやPeopleSoftといった基幹系にも影響が及びます。

対処は、自社が使うOracle製品を特定し、2026年7月のCPUを適用することです。とくにインターネットに公開したWebLogic等のミドルウェアは最優先で塞いでください。WebLogicは過去に公開直後の悪用が繰り返されてきた製品であり、パッチ適用の遅れがそのまま乗っ取りの入口になります。件数の多さに惑わされず、「無認証・10.0・外部公開」に該当するものから確実に手を打つのが安全です。

参照元

• ▸ Oracle - Critical Patch Update Advisory - July 2026（公式・製品別一覧）
• ▸ Threat-Modeling.com - Oracle July 2026 Critical Patch Update 解説
• ▸ TechTimes - PeopleSoftの悪用欠陥を含む記録的な7月CPU
• ▸ NVD - CVE-2026-60217（Oracle Coherence・10.0・無認証）ほか本文の各CVE
• ▸ 関連: Oracle WebLogicの悪用事例まとめ（当サイト）
• ▸ 関連: 攻撃中の脆弱性を追う一覧 CISA KEV（日本語版・当サイト）