Oracle四半期パッチ1449件、無認証で乗っ取り10.0が10件

オラクル（Oracle）が2026年7月の四半期セキュリティ更新（Critical Patch Update、CPU）を公開しました。修正は過去最多となる1,449件にのぼり、この中にはログイン不要で、ネットワーク越しにサーバーを丸ごと乗っ取れる危険度10.0（最高値）の脆弱性が10件含まれます。10.0はいずれも、企業システムの土台として広く使われるFusion Middleware製品群のもので、Oracle Coherence・Oracle Access Manager・Oracle Data Integrator・WebCenter Contentなどが対象です。

これらの製品を使っている場合、とりわけインターネットに公開しているサーバーは早急な対応が必要です。WebLogicをはじめとするOracleミドルウェアは、過去にも公開直後から世界規模で狙われ、実際に乗っ取り被害が多発してきた「常連の標的」です。何が公開されたのか、どれを優先して塞ぐべきかを整理します。

Oracleの「四半期パッチ（CPU）」とは

OracleのCritical Patch Update（CPU）は、同社が3か月ごと（1月・4月・7月・10月）にまとめて公開するセキュリティ修正です。データベース、Java、WebLogicなどのミドルウェア、E-Business SuiteやPeopleSoftといった業務システムまで、Oracleの膨大な製品群の脆弱性を一度に修正するため、1回で数百〜千件超という規模になります。今回の2026年7月版は1,449件（ユニークなCVEは1,235件、334製品が対象）で、過去最多の規模でした。

件数が多いぶん「自社に関係するものだけ」を見極める必要がありますが、注意すべきは危険度が最高で、しかもログイン不要（無認証）で悪用できるものです。製品群ごとの内訳を見ると、どこに負担が集中しているかがはっきりします。

件数だけならE-Business Suiteが最多ですが、ログイン不要で外から悪用できる欠陥の割合はFusion Middlewareが突出しています（355件中219件）。危険度10.0の10件もすべてこの製品群に含まれ、Oracle自身もできるだけ早い適用を強く推奨しています。インターネットに面したミドルウェアから手を付けるべき理由がここにあります。

誰が、何のために狙うのか

こうしたOracleミドルウェアの無認証脆弱性を狙うのは、インターネットに公開されたWebLogicなどのサーバーを機械的に探し回る攻撃者です。ランサムウェアの攻撃者や、企業への侵入を狙う組織的なグループにとって、WebLogicのような広く使われる基幹ミドルウェアは格好の入口です。修正が公開されると、その差分から手口が短期間で推測され、まだ更新していないサーバーが一斉に狙われます。

攻撃者は、ログインもせずにサーバー上で任意のプログラムを実行し、システムを丸ごと乗っ取ろうとします。乗っ取りに成功すれば、そのサーバーが扱う業務データの窃取、ランサムウェアによる暗号化・恐喝、社内ネットワーク深部への侵入の足がかりなどにつながります。WebLogicは実際に、過去のCPUで修正された脆弱性が公開後すぐに悪用され、米CISAの「実際に攻撃されている脆弱性リスト（KEV）」に何度も登録されてきた実績があります（当サイトのWebLogicの悪用事例のまとめも参照）。

被害はサーバー管理者だけの問題ではありません。基幹システムやミドルウェアが乗っ取られれば、そこに連なる業務全体、顧客情報、取引先とのデータ連携までが危険にさらされます。だからこそ、次に示す優先順位で早急に対処する必要があります。

とくに急ぐべき「無認証で乗っ取り」系（代表例）

今回の1,449件のうち、まず優先すべきはログイン不要でネットワーク越しに悪用でき、成立するとサーバーを完全に掌握されるものです。以下は、その代表例です（危険度・悪用条件はNVDの記載に基づく）。いずれも修正は2026年7月のCPUに含まれます。

10.0が付いた10件は、すべてFusion Middleware側の製品です。WebLogic Server本体（Core）に10.0はありません。本体の最高値はCVE-2026-60206の9.9ですが、これは低い権限であってもログインが必要です。本体でログイン不要なのはCVE-2026-60198／60199／60200／60202／60204の9.8が5件で、外部に公開したWebLogicではこちらが実質的な最優先になります。表に挙げたCVE-2026-60365は名前こそ「WebLogic Server」ですが、実体はApacheやIISといった第三者Webサーバーの前段に置くプラグインで、対象は15.1.1.0.0のみ、影響も情報漏えいと改ざんに限られます（サーバー停止の影響はなし）。プラグインを使っていなければ関係しません。

混同しやすい別件との線引きも押さえておいてください。「7月のCPUには、すでに実際の攻撃に使われた欠陥が1件含まれる」と報じられているのはPeopleSoftのCVE-2026-35273のことで、ここまで挙げたWebLogic・Coherence・Access Managerの欠陥ではありません（詳細は当サイトのPeopleSoftのゼロデイ悪用の記事を参照）。また、PoCが公開済みでよく引き合いに出されるCVE-2026-21962（WebLogic Proxy Plug-in、危険度10.0）は2026年1月のCPUの別件です。今回の7月分については、2026年7月29日時点で実際の悪用も、公開されたPoCも、CISA KEVへの登録も確認されていません。

自社に関係するか、どれを優先するか

1,449件すべてが自社に関係するわけではありません。まず「自社が使っているOracle製品」を洗い出し、その製品に該当するCVEだけをCPUの製品別一覧で確認します。そのうえで、次の順で優先度を判断すると効率的です。

とくにWebLogicは、外部との通信に使う専用プロトコル（T3／IIOP）を悪用する攻撃が繰り返し報告されています。すぐにパッチを当てられない場合でも、これらのプロトコルや管理画面をインターネットから直接触れられないよう、通信の入口を絞ることで、狙われる面を大きく減らせます。

いま何をすればいいのか

対処の基本は、2026年7月のCPUを適用することです。OracleのCritical Patch Update Advisory（2026年7月）に、製品別の該当CVEと入手先がまとめられています。まずは自社が使う製品を特定し、上の優先順位に沿って、インターネットに公開したミドルウェアから順に適用してください。

すぐに適用できない事情がある場合は、つなぎの措置として、WebLogicなどの管理コンソールやT3／IIOP通信をインターネットから遮断する・アクセス元を限定することが有効です。ただしこれは時間稼ぎにすぎず、根本的な対処はパッチ適用です。あわせて、身に覚えのない管理者アカウントの追加や不審な通信がないか、すでに侵害されていないかの点検も行っておくと安全です。

2026年7月29日時点で、今回のCPUで修正された脆弱性について実際の悪用は確認されておらず、動作するPoCも公開されていません。ただしWebLogic級のミドルウェアは公開後の悪用が早いことで知られます。米政府CISAの「実際に攻撃されている脆弱性リスト」に載っていないかは、攻撃中の脆弱性を追う一覧（日本語版）で確認できます。

まとめ

Oracleの2026年7月の四半期パッチ（CPU）は、過去最多の1,449件（ユニークCVE1,235件・334製品）を修正する大規模なものでした。中でも危険なのは、ログイン不要でサーバーを乗っ取れる危険度10.0の脆弱性が10件あり、Coherence・Access Manager・Data Integrator・WebCenter ContentといったFusion Middleware製品に集中している点です。Fusion Middlewareだけで355件、うち219件がリモートから無認証で悪用可能とされ、E-Business Suite（410件）やPeopleSoft（84件）といった基幹系にも影響が及びます。

対処は、自社が使うOracle製品を特定し、2026年7月のCPUを適用することです。とくにインターネットに公開したWebLogic等のミドルウェアは最優先で塞いでください。WebLogic本体に10.0はないものの、ログイン不要の9.8が5件あり、公開直後の悪用が繰り返されてきた製品であることに変わりはありません。件数の多さに惑わされず、「無認証・高危険度・外部公開」に該当するものから確実に手を打つのが安全です。

参照元

• ▸ Oracle - Critical Patch Update Advisory - July 2026（公式・製品別一覧）
• ▸ Tenable - 7月CPUは1,449件・ユニークCVE1,235件（製品群別の内訳）
• ▸ heise - Oracle Critical Patch Update: 1,449 software patches in July
• ▸ The Register - 危険度10.0の10件はすべてFusion Middleware
• ▸ Forbes - Oracle releases record 1,449 security patches
• ▸ NVD - CVE-2026-60358（Oracle Access Manager・10.0・無認証）ほか本文の各CVE
• ▸ 関連: PeopleSoft CVE-2026-35273のゼロデイ悪用（当サイト）
• ▸ 関連: Oracle WebLogicの悪用事例まとめ（当サイト）
• ▸ 関連: 攻撃中の脆弱性を追う一覧 CISA KEV（日本語版・当サイト）