Oracle ORDSの最悪級脆弱性と月次パッチCSPU、現状の対処まとめ
Oracleが2026年5月28日、最悪レベルの脆弱性CVE-2026-46840を含む35件のパッチを公開しました。認証なしでシステムを丸ごと乗っ取られる恐れがあり、業務システムをAPI化するORDSが直撃。人事・経理を支えるE-Business Suiteにも12件。ORDS利用者は今すぐ更新を。
目次
Oracleが2026年5月28日、最悪レベルの脆弱性CVE-2026-46840を含む35件のパッチを公開しました。認証なしでシステムを丸ごと乗っ取られる恐れがあり、業務システムをAPI化するORDSが直撃。人事・経理を支えるE-Business Suiteにも12件。ORDS利用者は今すぐ更新を。
Oracle Databaseの中身をREST API（プログラム同士がやり取りする窓口）として外に公開する公式ツールOracle REST Data Services（ORDS）には、バージョン24.2.0〜26.1.0に、認証なしでネットワーク越しにシステムを丸ごと乗っ取れる最悪級の脆弱性（CVE-2026-46840、CVSS 10.0）があります。この穴は2026年5月28日公開の月次パッチ（5月CSPU）で修正済みで、CSPUパッチを適用済みか、2026年7月2日リリースの26.2以降を使っているなら追加の対応は不要です。あわせて、人事・経理・購買を支えるOracle E-Business Suiteの12.2.3〜12.2.15にも同じ5月CSPUで12件のパッチが出ており、うち決済コンポーネントのCVE-2026-46817は2026年7月15日に米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」に登録されました。未適用の環境は、この2つを最優先で塞いでください。
この5月CSPUは、Oracleが四半期に1度の定例セキュリティ更新（Critical Patch Update、CPU）を毎月のサイクル（Critical Security Patch Update、CSPU）へ切り替えた第1回でした。月次体制はその後も予定どおり続いており、6月16日には第2回のCSPU（243件のCVEに対する245パッチ）、7月21日には四半期CPU（1235件のCVE、過去最大規模）が公開されています。「Oracleのパッチは月次」という前提は、もう計画ではなく実績です。
月次化の背景には、2025年8月から続いたCl0pランサムウェアグループによるOracle E-Business Suiteのゼロデイ大量悪用（CVE-2025-61882）があります。四半期に1度のパッチサイクルでは、CISAが警告を出しても次のCPUまでに数十日〜数か月の空白が生まれる問題が露呈し、Oracleは月次化に踏み切りました。Oracleの公式ブログは月次CSPUを「より小さく、より集中したフォーマット」と説明し、AnthropicのClaudeとOpenAIのモデルを脆弱性検出と対応に活用していることも明らかにしています。
Oracle 2026年5月パッチ、何が出たかの早見表
E-Business Suite系が圧倒的多数で、ORDS（Oracle REST Data Services）に最高深刻度のCVSS 10.0が割り当てられたのがこの回の特徴です。
| 製品ライン | 件数 | 最高 CVSS | 認証不要 リモート悪用 | 国内での主な利用層 |
|---|---|---|---|---|
| Oracle REST Data Services (ORDS) | 3件 | 10.0 (CVE-2026-46840) | ✅ 認証不要 | 業務システムの REST API公開層 |
| Oracle E-Business Suite | 12件 | 9.9 (CVE-2026-46822/ 46824) | うち3件は ✅ 認証不要 | 大手企業の 人事・経理・購買・ 販売管理基幹 |
| Oracle Database Server | 3件 | 9.0 (CVE-2026-46833) | ✅ 認証不要 (AC:H) | 金融・公共・ 大手SIer全般 |
| Oracle Hospitality OPERA 5 | 1件 | 9.8 (CVE-2026-34311) | ✅ 認証不要 | 大手ホテルチェーン の予約・PMS |
| その他 (各種) | 16件 | — | — | — |
| 合計 | 35件 | 10.0 | — | — |
「認証不要・ネットワーク経由・リモート悪用可能」のものは、外部に晒しているORDS経由のAPIや、社内ネットワークに侵入された後の横展開で踏まれます。とりわけORDSのCVSS 10.0はシステム完全乗っ取りを意味する数字です。そして机上の想定で終わらなかったものが既にあります。E-Business Suite PaymentsのCVE-2026-46817は、公開から1か月半後の2026年7月15日にKEVへ登録され、実際に攻撃へ使われる段階に入りました。
なぜ Oracle は四半期から月次へ切り替えたのか
Oracle の四半期 CPU は 1月・4月・7月・10月の第3火曜日に固定されてきた、業界標準の運用サイクルでした。20年以上続いたこの枠組みは、エンタープライズ顧客がパッチ適用を四半期に1度の保守作業として組み込みやすいというメリットがありました。
しかし、2025年夏から秋にかけて状況が一変します。Cl0p ランサムウェアグループが Oracle E-Business Suite の Concurrent Processing コンポーネントにあるゼロデイ（後に CVE-2025-61882 として採番、CVSS 9.8）を大量悪用し、複数の大手企業から大量のデータを窃取しました。Oracle が緊急アラートを出し、CISAも KEV（Known Exploited Vulnerabilities）カタログに追加しましたが、次のCPUまでの間にOracle E-Business Suiteを動かす世界中の企業が「いま手を打つ手段がない」状態に置かれました。
月次CSPU化は、このギャップを「最大30日」に縮める打ち手です。Oracle公式の発表は「より小さく、より集中したフォーマット」と表現していますが、運用側から見れば「四半期ごとの大掃除型パッチ」から「月次の小規模パッチ」への切り替えで、年12回の保守ウインドウ確保とテスト計画再構築が必須になります。Oracle は同時に、Anthropic の Claude と OpenAI のモデルを脆弱性検出と対応に組み込んでいることも明らかにしました。AI による検出スピード向上が月次化の前提条件にあるという読み方ができます。
既存の四半期CPUは廃止されず、月次CSPUと併存します。この併存体制は予定どおり実施されました。6月16日の第2回CSPUは243件のCVEに対する245パッチ（うちCriticalが122件。Fusion Middlewareが106件で最多、E-Business Suiteは55件）。7月21日の四半期CPUは1235件のCVE・1449件のセキュリティ更新という過去最大規模で、E-Business Suite向けとしても史上最多、最上位はOracle Database ServerのCVSS 9.9（19.3〜23.26.2が対象）でした。
月次化の理由だった「パッチ空白期間を突かれる」問題は、切り替え直後にも現実になっています。PeopleSoft（Oracleの人事・会計パッケージ）のPeopleToolsにあった認証欠落のゼロデイ CVE-2026-35273 は、攻撃グループShinyHunters（UNC6240）によって5月27日〜6月9日に100を超える組織・300台超のサーバーで悪用され、6月12日にKEVへ登録されました。恒久修正が載ったのは7月21日のCPUです。パッチ提供の間隔を縮めても、攻撃側がそれより速いという構図はまだ終わっていません。
CVSS 10.0 のCVE-2026-46840（ORDS）が最重要な理由
CVSS 10.0 は CVSS v3.1 の理論上の最大値で、すべての評価軸が最悪値で揃ったときにだけ出ます。具体的には、AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H ＝ネットワーク経由・複雑度低・認証不要・ユーザー操作不要・スコープ変更・機密性/完全性/可用性すべて高インパクト、というプロファイルです。
Oracle REST Data Services（ORDS）は、Oracle Database のテーブル・ビュー・ストアドプロシージャをそのまま REST API として公開するための公式ゲートウェイです。多くの企業が「社内DB → 外向きAPI」「社内Webアプリ → DB」のインターフェース層として ORDS を採用しており、影響範囲は ORDS そのものではなくORDSが繋がっているOracle Database本体に波及します。S:C（スコープ変更）が立っているのは、まさにこの波及を示しています。
影響バージョンは 24.2.0〜26.1.0。ORDS は組織によっては DMZ（外部公開用の緩衝ネットワーク）や外向きロードバランサ配下に置かれているケースが多く、外から触れる場所に CVSS 10.0 の穴があるという構図は、認証不要での完全乗っ取りを意味します。修正は My Oracle Support 経由で配布された5月CSPUのパッチで提供済みで、その後の通常リリースにも反映されています。ORDSの最新は2026年7月2日公開の26.2で、これ以降を使っていればこの穴の心配はありません。
悪用状況の読み方には注意が要ります。2026年7月23日時点で、CVE-2026-46840はKEVカタログに登録されていません。一方でネット上には、PoC（攻撃検証コード）を称するGitHubリポジトリや、「すでに悪用されKEVにも追加された」と書くセキュリティ系ブログが複数あります。後者はKEVカタログの実物（2026年7月23日版）と食い違っており、悪用済みという主張は現時点で裏付けが取れません。ただし、PoCを称するコードが出回っていること自体、未修正のORDSを外に晒したままにしてよい理由にはなりません。
この脆弱性を狙うのは誰か、何を狙うのか
Oracle 製品の運用を狙う攻撃者は、過去1年で Cl0p を筆頭にプロ化が進みました。CSPUの公開は攻撃側にとって「PoC化レースの号砲」でもあります。
この穴の値踏みをしている層は、Cl0p および Cl0p の後継を名乗る東欧系ランサムウェア・アフィリエイト、Oracle E-Business Suite を運用する日系・米系大手企業の財務・人事データを狙う産業スパイ集団、ホテルチェーンの予約・カード情報を狙うクレジットカード詐欺グループ、そして Oracle Database の本番データをまるごと身代金交渉材料にしたい二重恐喝オペレーターといった、特定の被害者像を頭に描いている人間たちです。彼らが ORDS や E-Business Suite から持ち出したいのは抽象的な「機密情報」ではありません。日本企業の場合は、人事DBの全従業員給与・賞与レコード、購買DBの取引先マスタと支払サイト条件、販売管理DBの未公開受注残、原価計算モジュールの社内利益率、稟議・電子契約のスキャンPDF、そして経理の銀行口座振込テンプレートです。この35件のうち外向きに刺さるものを1本踏ませた瞬間、上記のレコードが攻撃者の手元に複製されます。
事前偵察は驚くほど機械化されています。Shodan で ords/ や /OA_HTML/ の文字列を含むレスポンスを叩けば E-Business Suite と ORDS の公開インスタンスがリスト化でき、そこに Oracle CSPU の公開日と公開コンポーネント名を突き合わせれば「公開から1週間以内に試すべきターゲット」が機械的に決まります。Cl0p 系は2025年の Oracle E-Business Suite 攻撃で、PoCも公開されていない段階から本番システムへの実弾投入を実証済みで、パッチ公開から顧客の適用までの時差を「攻撃者の優位な時間」として刈り取ろうとしています。月次化はこの時差を縮める打ち手ですが、逆に「毎月のCSPU公開直後の1週間が一斉に危ない期間」になる側面もあります。E-Business Suite Payments の CVE-2026-46817 が公開から1か月半でKEV入りしたのは、この読みが外れていなかった証拠です。
CVSS 10.0 という数字は1台のサーバを奪われる技術的な最大値です。日本の大手企業や中堅SIerが本当に失うのは、勘定系の月次締めデータ、株主総会前の未公開財務情報、業界トップシェアの製品原価、5年契約のSAP/Oracle置換プロジェクト計画書、そしてホテルチェーンであれば数百万人分のロイヤリティプログラム会員情報と滞在履歴です。四半期CPUの空白期間を狙われた2025年のCl0p禍を経験した運用チームほど、この種のパッチ公開を「対岸の話」と読まないはずです。
運用パターン別、攻撃が届く範囲の早見表
| 運用パターン | 5月CSPUの穴で 届くもの | 届かないもの （別CVEが必要） |
|---|---|---|
| 中堅SIerが 多数顧客を 受託運用 | ✅ DMZ 配置の ORDS インスタンス ✅ 顧客E-Business Suiteの Payments / Procurement ✅ Oracle Database 接続文字列 | ❌ 顧客社内のADF認証 ❌ 別系統SIerが運用 する隣接システム |
| 大手企業の 基幹業務システム （自社運用） | ✅ 人事・経理・購買・ 販売管理の全マスタ ✅ 月次締めデータ ✅ 銀行振込 テンプレート ✅ 業績指標 | ❌ ハイパーバイザ ❌ Active Directory （egress制御次第 で届く可能性あり） |
| ホテル/旅行業の OPERA 5 運用 | ✅ 全予約レコード ✅ 滞在履歴 ✅ ロイヤリティ プログラム会員DB ✅ チェックイン/ アウトログ | ❌ PCI DSS 準拠カード保管庫 （別トークン化層 を経由した場合） |
特に SIer による多数顧客の集中受託運用は、1つの ORDS インスタンスが踏まれただけで複数顧客のデータベース接続文字列が一度に流出する構造になりがちです。受託契約上の責任分界点を考えると、SIer 側の対応スピードがそのまま顧客への賠償リスクに直結します。
5月CSPUのCritical CVE 個別解説
各CVEの公式詳細は Oracle 公式アドバイザリを参照してください。
CVE-2026-46840: ORDS の認証不要RCE（CVSS 10.0）
Oracle REST Data Services 24.2.0〜26.1.0 の Backend-as-a-Service コンポーネントを直撃する CVSS 10.0 のRCE系脆弱性。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。HTTPS経由で認証なし悪用可能、スコープ変更により ORDS が繋がっている Oracle Database 本体まで影響が波及します。2026年7月23日時点で 米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」への登録はありませんが、PoC（攻撃検証コード）を称するコードの流通が確認されており（前述のとおり「悪用済み」との二次情報の主張は未確認）、放置してよい水準ではありません。対処は5月CSPUパッチの適用、または26.2以降への更新で完了します。
CVE-2026-46775: ORDS の認証あり完全乗っ取り（CVSS 9.9）
同じく ORDS 24.2.0〜26.1.0。低権限の認証ユーザーが ORDS をHTTPS経由で完全乗っ取り可能。CVE-2026-46840 とセットでパッチ適用を。
CVE-2026-46839: ORDS の権限昇格（CVSS 9.9）
ORDS 24.2.0〜26.1.0 の3件目。低権限ユーザーから機密性・完全性・可用性すべてに高インパクトのアクセスが取れます。ORDSはこの回で3件、いずれも CVSS 9.9 以上。
CVE-2026-46822: E-Business Suite iAssets（CVSS 9.9）
Oracle E-Business Suite 12.2.3〜12.2.15 の iAssets コンポーネント（固定資産管理）に対する HTTP 経由のRCE。低権限ユーザーから完全乗っ取り。日本の上場企業の財務システムで広く使われている領域。
CVE-2026-46824: E-Business Suite Universal Work Queue（CVSS 9.9）
同じく E-Business Suite 12.2.3〜12.2.15 の Universal Work Queue（業務キュー管理）。Work Provider Site Level Administration が侵入経路。S:C（スコープ変更）が立っているため、Universal Work Queue 自体を超えて隣接コンポーネントにも影響する設計上の警告が含まれます。
CVE-2026-46817: E-Business Suite Payments（CVSS 9.8）
Oracle E-Business Suite 12.2.3〜12.2.15 の Payments コンポーネント（決済処理）の File Transmission に対する認証不要のリモート攻撃。HTTP経由で完全乗っ取り、機密性・完全性・可用性すべて高インパクト。この1本は公開から1か月半後の2026年7月15日にKEVカタログへ登録されました（米連邦政府機関の対応期限は7月18日）。5月CSPUの35件の中で、実際に攻撃へ使われていると確認された最初のCVEです。未適用の E-Business Suite は、このパッチだけでも先に当ててください。
CVE-2026-46819: E-Business Suite Internet Procurement Connector（CVSS 9.1）
同じくE-Business Suite 12.2.3〜12.2.15、Internet Procurement Connector（インターネット調達コネクタ）。認証不要のリモート攻撃で、重要データの作成・削除・更新が可能。可用性は無傷（A:N）ですが、購買データ書換は財務監査上のリスクが大きい。
CVE-2026-46833: Oracle Database Server Net Service（CVSS 9.0）
Oracle Database Server 23.4.0〜23.26.2 の Net Service コンポーネント。TLS 経由のネットワーク攻撃、認証不要だが攻撃複雑度は高（AC:H）。S:C でスコープ変更があり、Oracle Database 自体に届くため金融・公共・大手SIerが優先する案件。
CVE-2026-34311: Hospitality OPERA 5（CVSS 9.8）
Oracle Hospitality OPERA 5 Property Services 5.6.19.24 / 5.6.22 / 5.6.25.19 / 5.6.27.6 / 5.6.28 に対する認証不要のリモート攻撃。世界中の大手ホテルチェーンが採用する宿泊予約・PMS（Property Management System）の基幹で、攻撃成功時には全予約データと会員情報が抜かれます。
その他のE-Business Suite High（CVE-2026-46820/46826/46827/46837）
CVSS 8.5〜8.8 帯の E-Business Suite High が4件：Financials Common Modules (46820)、Payroll Internal Operations (46826)、Payroll Self Service Manager (46827)、Flow Manufacturing (46837)。いずれも低権限の認証ユーザーから機密性・完全性・可用性に深刻な影響、または Payroll は給与計算 → 全従業員の個人情報・口座情報へ届く性質上、日本の人事部門が即座に対応すべき案件です。
月次CSPUが現場運用に持ち込む3つの変化
月次化は単に「パッチ頻度が4倍」ではありません。現場の保守運用フローを構造的に変える3つの変化を持ち込みます。なお「月次は小規模」という当初の触れ込みは、第2回の6月CSPUが243件という数字で早くも裏切られました。月ごとの件数変動を前提にした計画が要ります。
| 変化 | 四半期CPU時代 | 月次CSPU時代 |
|---|---|---|
| 保守ウインドウ | 年4回、 各回大規模パッチ （数十件まとめて） | 年12回、 件数は月ごとに変動 （5月35件、6月243件） |
| テスト計画 | 四半期に1度、 2〜4週間の 本格テスト | 毎月、 優先度を絞った 短期テスト |
| SIer委託契約 | 四半期パッチ 適用料金（月割） | 月次パッチ 適用料金見直し 必須 |
日本のSIerが顧客と結んでいる Oracle 保守委託契約は「四半期 CPU 適用」を前提に料金設計されているケースが多く、月次CSPU化は契約条件の再交渉トリガーになります。情シス部門は、自社契約書の「Oracleパッチ適用」項目を改めて確認したほうが安全です。
いま確認すべき5つの対応
Oracle E-Business Suite、ORDS、Oracle Database を運用しているチームは、以下を順に確認してください。
| # | 対応 | 具体的に何をするか |
|---|---|---|
| 1 | ORDSの バージョン確認 | 5月CSPUパッチ適用済みか、 26.2以降（2026年7月2日 リリース）かを確認。 どちらでもなければ即更新。 |
| 2 | E-Business Suite 12.2.3〜12.2.15 確認 | 該当バージョン稼働中なら、 KEV入りしたPayments (CVE-2026-46817)を筆頭に iAssets / Universal Work Queue のパッチ適用状況を確認。 |
| 3 | SIer委託契約の 確認 | 「Oracleパッチ適用」項目を 四半期前提から 月次対応に組み替える 条件交渉の準備。 |
| 4 | DMZ配置ORDSの WAFルール強化 | パッチ適用までの間、 ORDS APIの認証チェック 強化、不要メソッドのブロック、 レート制限を一時的に厳格化。 |
| 5 | 月次CSPU カレンダーの 業務化 | Oracleのセキュリティ アラートページで毎月の CSPU公開を確認し、定例 レビュー会議に組み込む （5月は28日、6月は16日と 公開日は月により変わる）。 |
Oracle E-Business Suiteを巡る攻撃は2025年のCl0p禍以降、攻撃者側の経済合理性が確立してしまっています。今回は5月CSPUの CVE-2026-46817 が実際にKEVカタログへ登録されたことで、「次の月次CSPUまで待てる事案ではない」ことが想定ではなく事実として示されました。
月次パッチ化は「楽になる」ためではなく「逃げ場が減る」ため
Oracleの月次CSPU化は、ユーザー企業の保守運用を楽にする施策ではありません。むしろ「Oracle自身がCl0pレベルの攻撃者と戦う時間を、四半期から月次に切り詰めざるを得なくなった」という、防御側の苦境がはっきり表に出た分岐点です。CSPU第1回でいきなりCVSS 10.0と11件のCriticalが並び、第2回が243件に膨らんだことは、OracleがAIによる脆弱性検出を強化した結果、これまで見逃されていた領域が一気に露出しているという見方もできます。
運用側の宿題も現実になりました。四半期パッチを前提にした保守委託契約、変更管理プロセス、テスト工数の確保。その再設計は「これから来る変化」ではなく、5月・6月のCSPUと7月のCPUを経て、すでに回し始めていなければならない体制です。
ORDSのCVSS 10.0（CVE-2026-46840）は5月CSPUパッチと26.2以降で修正済み、KEV登録はなし（悪用済みとする二次情報は未確認）。E-Business SuiteのCVE-2026-46817は7月15日にKEV登録済みで、未適用環境は最優先。そしてPeopleSoftのゼロデイ悪用（CVE-2026-35273）が示したとおり、パッチが月次になっても攻撃はそれを待ってくれません。自分の環境のバージョンを確認し、当てるべきものを当てる。
参照元
- ▸ Oracle - Critical Security Patch Update Advisory: May 2026（2026年5月28日公開、月次CSPU第1回）
- ▸ Oracle - Critical Security Patch Update Advisory: June 2026（2026年6月16日公開、月次CSPU第2回・243 CVE）
- ▸ Oracle - Critical Patch Update Advisory: July 2026（2026年7月21日公開、四半期CPU・1235 CVE）
- ▸ Oracle公式ブログ - Monthly Critical Security Patch Updates Begin May 28, 2026
- ▸ SecurityWeek - Oracle's Second Monthly Security Updates Deliver 245 Patches
- ▸ Tenable - Oracle July 2026 Critical Patch Update Addresses 1235 CVEs
- ▸ thatjeffsmith - ORDS 26.2リリース（2026年7月2日）
- ▸ CISA - Known Exploited Vulnerabilities Catalog（CVE-2026-46817は2026年7月15日登録）
- ▸ NVD - CVE-2026-46840 (ORDS, CVSS 10.0)
- ▸ NVD - CVE-2026-46775 (ORDS, CVSS 9.9)
- ▸ NVD - CVE-2026-46839 (ORDS, CVSS 9.9)
- ▸ NVD - CVE-2026-46822 (E-Business Suite iAssets, CVSS 9.9)
- ▸ NVD - CVE-2026-46824 (E-Business Suite Universal Work Queue, CVSS 9.9)
- ▸ NVD - CVE-2026-46817 (E-Business Suite Payments, CVSS 9.8・KEV登録済み)
- ▸ NVD - CVE-2026-46819 (E-Business Suite Internet Procurement Connector, CVSS 9.1)
- ▸ NVD - CVE-2026-46833 (Oracle Database Server Net Service, CVSS 9.0)
- ▸ NVD - CVE-2026-34311 (Oracle Hospitality OPERA 5, CVSS 9.8)
- ▸ Oracle Security Alert - CVE-2026-35273（PeopleSoft PeopleToolsゼロデイ、7月CPUで恒久修正）
- ▸ Oracle Security Alert - CVE-2025-61882（Cl0pによるE-Business Suiteゼロデイ攻撃）
- ▸ HIPAA Journal - Cl0p Mass Exploiting Zero-day Vulnerability in Oracle E-Business Suite
- ▸ Security Affairs - Oracle patches critical E-Business Suite flaw exploited by Cl0p hackers
堀川 慎
Backend Engineer / AWS / Django / Go
