情報取得日: 2026/08/24／最終確認: 2026/08/27・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-21962 |
|---|---|
| 製品 | Oracle / Oracle Fusion Middleware の Oracle HTTP Server および Oracle WebLogic Server Proxy Plug-in。該当バージョンは 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0。ただし IIS 用 WebLogic Server Proxy Plug-in は 12.2.1.4.0 のみ該当。 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
| 種別 (CWE) | CWE-284 不適切なアクセス制御 |
| 登録／公開日 | 2026/08/24 |
| KEV 期限 | 2026/08/27 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）と「Forensics Triage Requirements」に従うこと。クラウドサービスについては BOD 26-04 の該当ガイダンスに従い、緩和策が無い場合は当該製品の利用を停止する。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-21962 |
Oracle Fusion Middleware の Oracle HTTP Server と Oracle WebLogic Server Proxy Plug-in に、不適切なアクセス制御（CWE-284）がある。コンポーネントは Apache HTTP Server 用および IIS 用の WebLogic Server Proxy Plug-in である。該当バージョンは 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 の3系列で、IIS 用のプラグインについては 12.2.1.4.0 のみが該当する。 CVSS は 3.1 で 10.0、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N である。スコアの出どころは Oracle（secalert_us@oracle.com）で、NVD もこれをそのまま採っている。ここで読むべき点が2つある。ひとつは PR:N/UI:N、つまり認証も利用者操作も要らないこと。もうひとつは S:C（スコープ変更）で、Oracle の記述も「脆弱性は Oracle HTTP Server / Proxy Plug-in にあるが、攻撃は他の製品にも重大な影響を及ぼしうる」と明記している。プロキシの背後にある WebLogic のアプリケーションまで射程に入るということである。可用性への影響は None（A:N）なので、これは「止められる」脆弱性ではなく「読まれる・書き換えられる」脆弱性である。Oracle は影響として、重要なデータの不正な作成・削除・変更、および重要なデータへの不正なアクセスないし全アクセスを挙げている。 この件の要点は、脆弱性そのものより時系列にある。CVE は 2026年1月20日に公開され、修正は同月の Oracle Critical Patch Update（cpujan2026）で提供済みである。つまりパッチは7か月以上前から存在する。それにもかかわらず CISA は 2026年8月24日に本件を KEV カタログへ追加し、是正期限を 2026年8月27日 に設定した。追加から期限まで3日しかない。KEV への追加は「実際に悪用されている」ことの確認を意味する。報道によれば、PoC が公開された後の1月時点で最初の攻撃が観測され、7月には中国系とされる攻撃者が政府インフラを狙った攻撃で本件を含む複数の脆弱性を悪用していたと報告されている。 KEV の knownRansomwareCampaignUse は Unknown（ランサムウェアキャンペーンでの使用は確認されていない）である。CISA の KEV エントリ（カタログ 2026.08.26 で確認）は、参照先として Oracle の cpujan2026 と NVD 詳細ページを挙げている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
EC2 上で Oracle HTTP Server / WebLogic Server Proxy Plug-in を運用している場合、AWS 側に修正は無い。Oracle の 2026年1月 Critical Patch Update（cpujan2026）以降の CPU を適用する。
ALB / NLB の背後に置いている構成でも、プラグイン自体が処理する経路なのでロードバランサ側では防げない。セキュリティグループで到達元を絞ることは攻撃面の縮小にあたるが、Oracle が示した回避策ではない。
参照リンク
|
| GCP | ベンダーFW更新 |
Compute Engine 上で運用している場合も同様に、Oracle の cpujan2026 以降の CPU を適用する。GCP 側の対応は不要。
外部 IP を付与した VM で Oracle HTTP Server を公開している構成が最も危険。VPC ファイアウォールで到達元を絞る。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure VM 上で運用している場合も同様に、Oracle の cpujan2026 以降の CPU を適用する。Azure 側の対応は不要。IIS 用プラグインを使っている場合は 12.2.1.4.0 のみが該当する。
NSG で管理・公開の到達元を絞る。Azure では IIS 用プラグインを使う構成があるため、Apache 用だけを見て「該当なし」と判断しないこと。
参照リンク
|
| Linux | 対象外 |
Linux ディストリビューションのパッケージとしては提供されていないため、ディストリ側の修正は無い。Oracle HTTP Server と WebLogic Server Proxy Plug-in は Oracle が配布する製品である。
Ubuntu USN / Red Hat RHSA / Debian security tracker のいずれにも該当エントリは無い（2026-08-27 時点）。ディストリの通常のアップデートでは塞がらない。
参照リンク
|
最初にやるのは、パッチが当たっているかどうかの確認である。この件は「新しく出た脆弱性」ではなく「7か月前に修正が出ていたのに残っている環境が狙われている」という性質のものなので、対処は新規パッチの適用ではなく、適用漏れの発見になる。 確認の順序はこうである。まず Oracle HTTP Server と WebLogic Server Proxy Plug-in を使っているかを洗い出す。プラグインは Apache HTTP Server 用と IIS 用の2種類があり、Apache 側は 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 の3系列、IIS 側は 12.2.1.4.0 のみが該当する。IIS 用を 14.x で使っている環境は該当しないので、ここで対象を絞れる。 次に、2026年1月の Critical Patch Update（cpujan2026）以降の CPU が適用されているかを確認する。Oracle の CPU は累積なので、1月以降のいずれかの CPU を当てていれば本件は塞がっている。逆に、1月より前で止まっている環境がそのまま該当する。 該当した場合の対処は Oracle の CPU を適用することである。回避策として公表されているものは無い。Oracle の CPU はプラグインのバイナリ差し替えを伴うため、Apache や IIS の再起動が必要になる。 期限について正確に書く。CISA の是正期限は 2026年8月27日であり、これは本稿の掲載日と同じ日である。連邦政府機関向けの拘束的指令（BOD 26-04）に基づく期限なので民間企業に法的拘束力は無いが、CISA が追加から3日という短い期限を切っているという事実自体が、悪用の切迫度に対する評価だと読むべきである。 露出の評価も要る。この脆弱性は AV:N（ネットワーク経由）で PR:N（認証不要）なので、インターネットに面したリバースプロキシがそのまま攻撃面になる。まず外向きの Oracle HTTP Server を優先し、内部専用のものは次に回す、という順序が現実的である。S:C（スコープ変更）である点も踏まえ、プロキシの背後にある WebLogic アプリケーション側のログも併せて確認する。 侵害の有無を見る場合、CISA の KEV は要求アクションの中で「Forensics Triage Requirements」への準拠を求めている。パッチを当てて終わりにせず、1月以降に未パッチで外部に露出していた期間があるなら、その期間のアクセスログを遡って確認する必要がある。パッチ適用は今後の侵入を止めるだけで、すでに入られていた場合の痕跡は消えないためである。
Critical（CVSS 10.0）に分類されるOracle Oracle Fusion Middleware の Oracle HTTP Server および Oracle WebLogic Server Proxy Plug-in。該当バージョンは 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0。ただし IIS 用 WebLogic Server Proxy Plug-in は 12.2.1.4.0 のみ該当。の脆弱性です。Oracle Fusion Middleware の Oracle HTTP Server と Oracle WebLogic Server Proxy Plug-in に、不適切なアクセス制御（CWE-284）がある。コンポーネントは Apache HTTP Server 用および IIS 用の WebLogic Server Proxy Plug-in である。該当バージョンは 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 の3系列で、IIS 用のプラグインについては 12.2.1.4.0 のみが該当する。 CVSS は 3.1 で 10.0、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N である。スコアの出どころは Oracle（secalert_us@oracle.com）で、NVD もこれをそのまま採っている。ここで読むべき点が2つある。ひとつは PR:N/UI:N、つまり認証も利用者操作も要らないこと。もうひとつは S:C（スコープ変更）で、Oracle の記述も「脆弱性は Oracle HTTP Server / Proxy Plug-in にあるが、攻撃は他の製品にも重大な影響を及ぼしうる」と明記している。プロキシの背後にある WebLogic のアプリケーションまで射程に入るということである。可用性への影響は None（A:N）なので、これは「止められる」脆弱性ではなく「読まれる・書き換えられる」脆弱性である。Oracle は影響として、重要なデータの不正な作成・削除・変更、および重要なデータへの不正なアクセスないし全アクセスを挙げている。 この件の要点は、脆弱性そのものより時系列にある。CVE は 2026年1月20日に公開され、修正は同月の Oracle Critical Patch Update（cpujan2026）で提供済みである。つまりパッチは7か月以上前から存在する。それにもかかわらず CISA は 2026年8月24日に本件を KEV カタログへ追加し、是正期限を 2026年8月27日 に設定した。追加から期限まで3日しかない。KEV への追加は「実際に悪用されている」ことの確認を意味する。報道によれば、PoC が公開された後の1月時点で最初の攻撃が観測され、7月には中国系とされる攻撃者が政府インフラを狙った攻撃で本件を含む複数の脆弱性を悪用していたと報告されている。 KEV の knownRansomwareCampaignUse は Unknown（ランサムウェアキャンペーンでの使用は確認されていない）である。CISA の KEV エントリ（カタログ 2026.08.26 で確認）は、参照先として Oracle の cpujan2026 と NVD 詳細ページを挙げている。
最初にやるのは、パッチが当たっているかどうかの確認である。この件は「新しく出た脆弱性」ではなく「7か月前に修正が出ていたのに残っている環境が狙われている」という性質のものなので、対処は新規パッチの適用ではなく、適用漏れの発見になる。 確認の順序はこうである。まず Oracle HTTP Server と WebLogic Server Proxy Plug-in を使っているかを洗い出す。プラグインは Apache HTTP Server 用と IIS 用の2種類があり、Apache 側は 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 の3系列、IIS 側は 12.2.1.4.0 のみが該当する。IIS 用を 14.x で使っている環境は該当しないので、ここで対象を絞れる。 次に、2026年1月の Critical Patch Update（cpujan2026）以降の CPU が適用されているかを確認する。Oracle の CPU は累積なので、1月以降のいずれかの CPU を当てていれば本件は塞がっている。逆に、1月より前で止まっている環境がそのまま該当する。 該当した場合の対処は Oracle の CPU を適用することである。回避策として公表されているものは無い。Oracle の CPU はプラグインのバイナリ差し替えを伴うため、Apache や IIS の再起動が必要になる。 期限について正確に書く。CISA の是正期限は 2026年8月27日であり、これは本稿の掲載日と同じ日である。連邦政府機関向けの拘束的指令（BOD 26-04）に基づく期限なので民間企業に法的拘束力は無いが、CISA が追加から3日という短い期限を切っているという事実自体が、悪用の切迫度に対する評価だと読むべきである。 露出の評価も要る。この脆弱性は AV:N（ネットワーク経由）で PR:N（認証不要）なので、インターネットに面したリバースプロキシがそのまま攻撃面になる。まず外向きの Oracle HTTP Server を優先し、内部専用のものは次に回す、という順序が現実的である。S:C（スコープ変更）である点も踏まえ、プロキシの背後にある WebLogic アプリケーション側のログも併せて確認する。 侵害の有無を見る場合、CISA の KEV は要求アクションの中で「Forensics Triage Requirements」への準拠を求めている。パッチを当てて終わりにせず、1月以降に未パッチで外部に露出していた期間があるなら、その期間のアクセスログを遡って確認する必要がある。パッチ適用は今後の侵入を止めるだけで、すでに入られていた場合の痕跡は消えないためである。
Oracle Oracle Fusion Middleware の Oracle HTTP Server および Oracle WebLogic Server Proxy Plug-in。該当バージョンは 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0。ただし IIS 用 WebLogic Server Proxy Plug-in は 12.2.1.4.0 のみ該当。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-21962）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/27 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）と「Forensics Triage Requirements」に従うこと。クラウドサービスについては BOD 26-04 の該当ガイダンスに従い、緩和策が無い場合は当該製品の利用を停止する。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/27）。