WebLogicの脆弱性まとめ。攻撃に使われた欠陥と最新パッチ状況

銀行の勘定系や官公庁の業務システム、製造業の生産管理を裏で支える業務サーバーソフト「Oracle WebLogic Server」のバージョン12.2.1.4.0と14.1.1.0.0には、ログインなしで保管データを丸ごと読み取られる欠陥（CVE-2024-21182）があり、2026年6月に実際の攻撃へ使われたことが確認されています。修正は2024年7月以降の四半期パッチに含まれています。WebLogicのパッチは累積型（最新を当てれば過去の修正もすべて含まれる方式）なので、最新の四半期パッチ（2026年7月21日公開）を適用済みなら、この欠陥への対処は完了しています。危険なのは、2024年7月より前のパッチのまま外部に晒されているサーバーです。

米政府機関CISAは2026年6月1日、この欠陥を「悪用が確認された脆弱性リスト（KEV）」に追加し、連邦政府機関に6月4日までの対処を命じました。この期限はすでに過ぎています。さらに2026年7月21日の最新パッチでは、重大なものを複数含むWebLogicの新たな欠陥11件もまとめて修正されており、パッチを最新に保つ意味は一段と大きくなっています。本記事では、この欠陥が何で、自社が影響を受けるのか、いま何を確認すべきかを、2026年7月23日時点の情報で整理します。

欠陥の概要

最初に、この欠陥の要点を一覧にします。深刻度を示すCVSS（10点満点の国際指標）は7.5と最高ランクではありませんが、「実際に攻撃へ使われたことが確認されている」という一点で、未修正サーバーにとっての優先度は最上位です。

「無認証」とは、ログインなしで攻撃が成立するという意味です。「情報漏えい型」というのは、サーバーを完全に乗っ取るのではなく、サーバーが触れるデータを外から読み取られる性質を指します。それでも勘定系や個人情報が丸ごと読み出される恐れがあり、軽視できません。

基幹の土台に表口から手が伸びる時、最初に抜かれるもの

この欠陥が怖いのは、ログインの壁を回り込んで業務サーバーの中身に直接届く点です。この入口に値を付けるのは、侵入経路を仕入れて転売する初期アクセス業者、盗んだデータで脅すランサムウェア集団、金融や官公庁・製造の機密を狙う国家支援のハッカーです。狙われるのは、勘定系の口座と取引記録、住民基本台帳の氏名・住所、未公開の四半期決算、生産ラインの設計値といった、その組織の根幹です。CVE-2024-21182が踏まれた瞬間、サーバーが触れるデータは認証画面を一度も通らずに外へ流出してしまいます。

抜き取られた情報は一度では止まりません。初期アクセス業者は読み取り経路を数千〜数万ドルでランサムの実行部隊に売り渡し、買い手はそのデータを足がかりに次の侵入へ進みます。盗まれた口座情報やメールアドレスは、本物そっくりの偽請求や取引先になりすました詐欺の道具に変わり、一台のサーバーの陥落が、顧客や住民一人ひとりのアカウント乗っ取りへ連鎖します。

後始末を背負うのは、サーバーを運用するシステム部門と経営です。個人情報の漏えいなら個人情報保護委員会への報告と本人への通知義務が生じ、取引先への説明や損害賠償、信用の失墜が残ります。金融や行政の基幹が止まれば、その影響は社会全体に及びます。修正を当て、外部に開いた通信を閉じられているかどうかが、その重さを背負わずに済むかの分かれ目です。

そもそもWebLogicとは何をするソフトか

Oracle WebLogic Serverは、「Javaアプリケーションサーバー」と呼ばれるソフトです。企業が作った業務プログラム（Javaで書かれたもの）を動かし続け、外からの要求をさばき、データベースとやり取りする「実行の土台」にあたります。ブラウザやスマホアプリの裏側で、実際の処理を回しているのがこの層です。

データベース大手のオラクルが提供する商用製品で、日本では伊藤忠テクノソリューションズ（CTC）などのパートナーを通じて、金融・公共・大手企業の基幹システムに数多く組み込まれてきました。無償のApache Tomcatが普及した今でも、止められない基幹システムでは有償のWebLogicが選ばれ続けています。現行のバージョンは、最新の15.1.1.0.0（長期サポート版）と14.1.2.0.0、そして今回の欠陥の対象である12.2.1.4.0と14.1.1.0.0の4系統で、いずれもサポート下でパッチが提供されています。

つまり、派手なサービスの裏で社会インフラに近い処理を黙々と回している土台です。普段は意識されない分、放置されたまま長く動き続けやすく、攻撃者から見れば「古いまま外に晒されている可能性が高い、価値の濃い的」になります。2026年6月の悪用確認は、その的が現実に狙われたことをはっきり示しました。

CVE-2024-21182の中身：T3・IIOP経由でデータを抜かれる

この欠陥は、WebLogicの中核（Core）コンポーネントにあります。セキュリティ企業Rapid7の解説やNVD（米国の脆弱性データベース）によると、攻撃者は「T3」「IIOP」と呼ばれるWebLogic独自の通信経路を使い、ログインも利用者の操作もなしに、サーバーが触れるデータへ不正にアクセスできます（CVSSの内訳は AV:N/AC:L/PR:N/UI:N、影響は機密性が高=C:H）。

ここで鍵になるのが「T3」と「IIOP」です。これらはWebLogicのサーバー同士やJavaクライアントが内部でやり取りするための通信で、本来インターネットに開く必要はほとんどありません。NVDの評価では攻撃の難易度は低い（AC:L）とされており、これらの経路が外部から届く位置にあること自体が危険なサインです。サーバーを完全に乗っ取る型ではありませんが、機密性への影響が「高」と評価されているとおり、内部の重要データを丸ごと読み取られる恐れがあります。

影響を受けるのはWebLogic Server 12.2.1.4.0 と 14.1.1.0.0で、より新しい14.1.2.0.0と15.1.1.0.0はこの欠陥の対象外です。修正はOracleの2024年7月の四半期パッチ（Critical Patch Update、CPU）で配布されました。WebLogicのCPUは累積型のため、それ以降のどのCPUを当てていても、この修正は含まれています。

修正から悪用確認までの経緯

修正が出てから悪用確認まで約1年半が空いたのには理由があります。2024年12月、この欠陥の攻撃用の実証コード（PoC）が公開されました。誰でも試せる攻撃手順が出回ったことで、未適用のサーバーを探して突くハードルが一気に下がりました。

そして2026年6月1日、CISAがこの欠陥をKEVに追加しました。KEVは「実際に攻撃へ使われたと確認された脆弱性」だけが載るリストで、登録は単なる注意喚起ではなく、現実の悪用を示す重い意味を持ちます。追加を報じたBleepingComputerによると、当時の外部計測では、インターネットから届く位置に置かれた脆弱なWebLogicが世界で約1,592台（12.2.1.4.0が961台、14.1.1.0.0が631台）確認されていました。WebLogicを狙う探索通信が単一の攻撃元から大量に観測されるなど、的を絞ったスキャンの動きも報じられました。

ここまでの経緯

← スワイプで移動

続報：2026年7月のパッチで重大なものを含む新たな欠陥11件が修正された

CVE-2024-21182とは別に、2026年7月21日公開の最新の四半期パッチ（July 2026 CPU）では、WebLogic Serverの新たな欠陥11件が修正されました。対象は12.2.1.4.0／14.1.1.0.0に加え、より新しい14.1.2.0.0／15.1.1.0.0を含む現行4系統すべてです。「新しいバージョンだから安全」とは言えなくなった点に注意してください。

CVE-2026-60206：ログインなしでサーバーを乗っ取られる欠陥

11件の中で最も深刻なのがCVE-2026-60206（CVSS 9.9）です。CVE-2024-21182が「読み取りだけ」だったのに対し、こちらはログインなしでサーバーを完全に乗っ取られる型で、乗っ取ったサーバーを足がかりに他の製品へ被害が波及する恐れも指摘されています。

CVE-2026-60198など：CVSS 9.8の無認証の欠陥が複数

ほかにもCVE-2026-60198／60202／60204／60205など、CVSS 9.8と評価される欠陥が並びます。いずれもログイン不要で、T3・IIOPに加えてHTTPやSOAP（Webサービス用の通信）経由でも突ける「デシリアライズ」型（外から送り込んだデータをサーバーが組み立て直す処理を悪用され、攻撃者の命令を実行してしまう欠陥）です。WebLogicが過去に何度も攻撃されてきたのと同じ系統の穴です。

救いは、2026年7月23日時点で、これら新欠陥の実際の悪用も攻撃手順の公開も確認されておらず、KEVにも登録されていないことです。ただし過去の例では、WebLogicのこの型の欠陥はパッチ公開後ほどなく攻撃が始まっています。パッチは累積型なので、July 2026 CPUを当てれば、CVE-2024-21182も新欠陥11件もまとめて塞がります。攻撃が始まる前のいまが、最も安く済むタイミングです。

情報システム部門がいま確認すべきこと

最優先は、最新の四半期パッチ（July 2026 CPU）の適用です。累積型なので、悪用が確認されたCVE-2024-21182の修正も、新たな欠陥11件の修正も、これ一つに含まれます。少なくとも2024年7月より前のパッチで止まっているサーバーは、実際に攻撃へ使われた欠陥に晒されたままなので、ただちに更新してください。すぐに当てられない事情がある場合は、応急策としてT3・IIOPの通信をファイアウォールで内部からのみに絞ります。これらは本来インターネットに開く必要のない通信です。ただし、7月に修正された新欠陥にはHTTP経由で突けるものも含まれるため、遮断はあくまで時間稼ぎと考えてください。

CVE-2024-21182の悪用が確認されている以上、すでに侵入された痕跡がないかの点検も欠かせません。アクセスログを見直し、見覚えのない接続元からのT3・IIOP通信がないかを確認してください。自社で直接運用せず、SIerやクラウド事業者に任せている場合は、対応状況の問い合わせが早道です。委託先に適用予定とスケジュールを確認し、必要なら自社のネットワーク側でアクセス制限をかけてください。

なお、もう一方の代表的な業務サーバーであるIBM WebSphereでも、2026年に重大な欠陥が相次いで公表されています。両方を運用している組織は、WebSphereの重大欠陥まとめもあわせて確認してください。国内で広く使われる製品の脆弱性を追うなら、悪用が確認された脆弱性を追えるKEVダッシュボードと2026年上半期の重大な脆弱性まとめが役立ちます。

よくある質問

まとめ

Oracle WebLogic Serverの12.2.1.4.0と14.1.1.0.0には、ログインなしでサーバー内のデータを読み取られる欠陥CVE-2024-21182があり、2024年7月に修正が出たあとも未適用のサーバーが残って、2026年6月に実際の悪用がCISAに確認されました。パッチは累積型のため、最新の四半期パッチ（2026年7月21日公開のJuly 2026 CPU）を当てていれば、この欠陥も、同時に修正された新たな欠陥11件も塞がっています。2026年7月23日時点で新欠陥の悪用は確認されていませんが、WebLogicは同じ型の欠陥が繰り返し狙われてきた製品です。自社のWebLogicの版とパッチ適用状況、外部に開いているT3・IIOP・HTTPの通信を、この機会に棚卸ししておきましょう。

参照元

• ▸NVD - CVE-2024-21182（Oracle WebLogic Server）
• ▸Rapid7 - Oracle WebLogic CVE-2024-21182
• ▸Oracle - Critical Patch Update Advisory（July 2024）
• ▸Oracle - Critical Patch Update Advisory（July 2026）
• ▸SecurityOnline - PoC Exploit Code Published for CVE-2024-21182
• ▸BleepingComputer - CISA orders feds to patch actively exploited Oracle WebLogic flaw
• ▸SecurityWeek - Oracle WebLogic Vulnerability Exploited in the Wild
• ▸SecurityOnline - Oracle WebLogic Server Vulnerability CVE-2026-60206
• ▸CyCognito - Oracle WebLogic Server Multiple Critical RCE Vulnerabilities（July 2026 CPU）
• ▸Oracle - Announcing WebLogic Server and Coherence 15.1.1
• ▸CISA - Known Exploited Vulnerabilities Catalog