OWN NEWS GATHER
← 戻る
The Hacker News

Oracle WebLogic関連の脆弱性に悪用が確認、CISAが警告カタログに追加──CVSS 10.0で重要データへの不正アクセスが可能に

要点

  • 米CISAが、Oracle製品に存在する最大深刻度（CVSS 10.0）の脆弱性「CVE-2026-21962」を悪用確認済み脆弱性カタログ（KEV）に追加した。

  • 本脆弱性は認証を必要とせず、HTTP経由で重要データの作成・改ざん・削除や全データへの不正アクセスを許す恐れがある。

  • Oracleは2026年1月に修正パッチを提供していたが、その後の調査によって実際の悪用活動が確認されている。

  • セキュリティ企業CloudSEKのハニーポットでも観測されており、攻撃者が過去のWebLogic向けRCE脆弱性と併用して本脆弱性を狙っている実態が判明した。

  • CISAは米連邦文民行政府機関に対し、2026年8月27日までに修正対応を完了するよう指示を出している。

  • 米国サイバーセキュリティ・インフラセキュリティ庁（CISA：米国の政府機関や重要インフラのサイバー防御を担当する組織）は2026年8月24日、Oracle製品に存在する深刻な脆弱性がサイバー攻撃において実際に悪用されているとして、同庁の「悪用が確認された脆弱性（KEV）」カタログに追加した。

  • 対象となっているのは「Oracle HTTP Server」および「Oracle WebLogic Server Proxy Plug-in」に影響を及ぼす脆弱性「CVE-2026-21962」で、脆弱性の深刻度を示す指標であるCVSS（共通脆弱性評価システム）のスコアでは最高値となる10.0が割り当てられている。CISAは米連邦機関に対し、定められた期日までに修正を適用するよう求めている。

脆弱性「CVE-2026-21962」の内容と影響範囲

今回KEVカタログに追加された「CVE-2026-21962」は、Oracle HTTP ServerおよびWebLogic Serverのプロキシプラグインにおける不適切なアクセス制御に起因する脆弱性だ。

この脆弱性が悪用された場合、遠隔の攻撃者は認証を経由することなく、HTTPネットワーク経由で対象サーバーにアクセスし、システムを侵害することが可能となる。結果として、システム内に存在する重要データの不正な作成、改ざん、削除が行われたり、アクセス可能なすべてのデータに対する完全な閲覧権限を奪われたりする危険性がある。

CISAの発表によると、この不適切なアクセス制御の欠陥は、保護されるべき重要情報への不正なアクセスを許すだけでなく、サーバーが保持するデータ全体の完全性を脅かすものだと説明されている。CVSSスコアが満点の10.0と評価されていることからも、悪用の容易さと被害の大きさが極めて高い水準にあることが示されている。

修正パッチ提供後も続く攻撃活動

Oracleは本脆弱性に対する修正パッチを2026年1月の段階で既に公開していた。しかし、パッチの公開以降もインターネット上では脆弱性を抱えたシステムを標的とする活発な攻撃や探索活動が観測され続けている。

脅威分析を行っているセキュリティ企業のGreyNoiseやCloudSEKの報告によると、脆弱性の公開後、複数の攻撃キャンペーンで悪用の試みが確認されたという。

具体的な事例として、2026年2月には「193.24.123[.]42」という単一のIPアドレスから、Oracle WebLogicをはじめ、Ivanti Endpoint Manager Mobile、GNU InetUtils、GLPIといった複数のソフトウェアの既知脆弱性を同時に狙った広範な攻撃活動が確認されていた。

さらに2026年3月には、CloudSEKが運用するハニーポット（攻撃者の活動や手法を監視・分析するために意図的に設置された囮の環境）に対しても、本脆弱性を悪用しようとする攻撃が到達していたことが報告されている。

過去の重大脆弱性とともに狙われるWebLogic環境

CloudSEKの調査では、攻撃者がCVE-2026-21962単体のみを狙っているわけではないことも明らかになっている。同社のハニーポットでは、WebLogicに対して過去に報告された複数の重大なリモートコード実行（RCE：遠隔から任意の不正なコードを実行させる攻撃）の脆弱性を組み合わせた攻撃が捉えられていた。

観測された攻撃には、コンソール経由のRCE脆弱性である「CVE-2020-14882」「CVE-2020-14883」や、IIOPプロトコルに関連する「CVE-2020-2551」、WLS-WSATコンポーネントの「CVE-2017-10271」などが含まれていたという。

CloudSEKは当時の報告において、ハニーポットで捕らえられた一連の攻撃について、「脅威アクターがWebLogic環境を侵害するために、効果が高く悪用が容易な少数の脆弱性のセットに依然として依存し続けていることを裏付けるものだ」と分析・言及している。過去の既知脆弱性と今回の新たな脆弱性が、同一の攻撃活動の中で併用されている状況が確認された形だ。

連邦機関に対する是正指示と期限

実際の攻撃悪用が確認されたことを受け、CISAは拘束力のある運用指令「BOD（Binding Operational Directive）26-04」に基づき、米国の連邦文民行政府（FCEB）機関に向けて対応を指示した。

FCEB機関に所属する各組織は、ネットワークの安全を確保するため、2026年8月27日までに必要な修正パッチを適用することが求められている。2026年1月のパッチ公開から時間が経過しているものの、攻撃者による探索と悪用が継続している実態を踏まえ、公的機関における迅速な防御措置が義務付けられた格好だ。

元URL