情報取得日: 2026/07/21／最終確認: 2026/07/23・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-60206 |
|---|---|
| 製品 | Oracle / Oracle WebLogic Server（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0 |
| CVSS | 9.9（Critical） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | （NVD 未割当） |
| 登録／公開日 | 2026/07/21 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-60206 |
Oracle Fusion Middleware の WebLogic Server（component: Core）に、SAML 経由のネットワークアクセスを持つ低権限の攻撃者が悪用できる欠陥がある。CVSS 3.1 基本値は 9.9、ベクタは AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H。NVD の記述では「容易に悪用可能（easily exploitable）」とされ、成功すると WebLogic Server の乗っ取りに至る。さらにスコープが変化（S:C）するため、影響は WebLogic 単体に留まらず、同居する他製品にも及びうると明記されている。必要なのは完全な未認証ではなく低権限（PR:L）である点が、同じ 2026年7月 CPU の未認証系（CVE-2026-60217 など）との違いになる。対象は 12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0。本稿執筆時点で悪用の事実は確認されていない（KEV 未収載）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2/ECS/EKS 上の WebLogic Server へ 2026年7月 CPU を適用する。ALB/セキュリティグループで管理コンソールと SAML エンドポイントへの到達元を限定する。
AWS 側の修正パッチは無い（利用者のミドルウェア更新が対処）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE/GKE 上の WebLogic Server へ 2026年7月 CPU を適用する。Cloud Armor / VPC ファイアウォールで SAML エンドポイントの到達元を絞る。
GCP 側に修正パッチは無い。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
VM/AKS 上の WebLogic Server へ 2026年7月 CPU を適用する。Oracle WebLogic on Azure の提供イメージを使っている場合も CPU 適用は利用者責任。
Azure 側に修正パッチは無い。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Oracle サポートから 2026年7月 CPU のパッチを取得して適用する。ディストリのパッケージ管理では配布されない。
同じ CPU で Coherence 側の CVE-2026-60217（CVSS 10.0）も修正される。同居環境ではまとめて適用すること。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
2026年7月の Oracle Critical Patch Update を適用する。低権限で足りるということは、業務利用のためにアカウントを配っている環境ではすでに前提条件が揃っているという意味なので、「外部に公開していないから後回し」という判断は成り立ちにくい。CPU 適用までの暫定策としては、SAML を使っていない環境であれば SAML 関連のプロバイダ・エンドポイントを無効化して攻撃面を落とし、使っている環境では管理コンソールと SAML エンドポイントへの到達元を限定する。併せて WebLogic の一般ユーザーアカウントの棚卸しを行い、不要な低権限アカウントを整理する。
Critical（CVSS 9.9）に分類されるOracle Oracle WebLogic Server（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0の脆弱性です。Oracle Fusion Middleware の WebLogic Server（component: Core）に、SAML 経由のネットワークアクセスを持つ低権限の攻撃者が悪用できる欠陥がある。CVSS 3.1 基本値は 9.9、ベクタは AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H。NVD の記述では「容易に悪用可能（easily exploitable）」とされ、成功すると WebLogic Server の乗っ取りに至る。さらにスコープが変化（S:C）するため、影響は WebLogic 単体に留まらず、同居する他製品にも及びうると明記されている。必要なのは完全な未認証ではなく低権限（PR:L）である点が、同じ 2026年7月 CPU の未認証系（CVE-2026-60217 など）との違いになる。対象は 12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0。本稿執筆時点で悪用の事実は確認されていない（KEV 未収載）。
2026年7月の Oracle Critical Patch Update を適用する。低権限で足りるということは、業務利用のためにアカウントを配っている環境ではすでに前提条件が揃っているという意味なので、「外部に公開していないから後回し」という判断は成り立ちにくい。CPU 適用までの暫定策としては、SAML を使っていない環境であれば SAML 関連のプロバイダ・エンドポイントを無効化して攻撃面を落とし、使っている環境では管理コンソールと SAML エンドポイントへの到達元を限定する。併せて WebLogic の一般ユーザーアカウントの棚卸しを行い、不要な低権限アカウントを整理する。
Oracle Oracle WebLogic Server（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-60206）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/23）。