情報取得日: 2026/07/21／最終確認: 2026/07/23・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-60217 |
|---|---|
| 製品 | Oracle / Oracle Coherence（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | （NVD 未割当） |
| 登録／公開日 | 2026/07/21 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-60217 |
Oracle Fusion Middleware の Oracle Coherence（component: Core）に、未認証の攻撃者が TCP 経由のネットワークアクセスだけで悪用できる欠陥がある。CVSS 3.1 基本値は 10.0 で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。認証もユーザー操作も不要なうえ、スコープが変化（S:C）するため、Coherence 自身を越えて同居する資産まで影響が及ぶ想定になっている。対象は 12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0。2026年7月の Oracle Critical Patch Update（cpujul2026）で公表されたもので、同じ CPU では Coherence と WebLogic Server に CVSS 9台の欠陥が多数まとまって出ている。本稿執筆時点で NVD に CWE の割り当ては無く、悪用の事実は確認されていない（KEV 未収載）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2/ECS/EKS 上の Coherence・WebLogic を 2026年7月 CPU 適用済みの版へ更新する。適用までの間はセキュリティグループでクラスタ通信ポートを同一VPCのアプリ層サブネットに限定する。
AWS 側の修正パッチは無い（利用者のミドルウェア更新が対処）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE/GKE 上のイメージへ 2026年7月 CPU を適用する。VPC ファイアウォールでクラスタ通信ポートの送信元をアプリ層に限定する。
GCP 側に修正パッチは無い。到達性の制限は暫定であり CPU 適用が必須。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
VM/AKS 上の Coherence・WebLogic に 2026年7月 CPU を適用する。NSG でクラスタ通信ポートへの外部到達を遮断する。
Azure 側に修正パッチは無い。Oracle 提供イメージを使っている場合も CPU 適用は利用者責任。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Oracle サポートから 2026年7月 CPU のパッチを取得して適用する。ディストリのパッケージ管理では配布されない（商用ミドルウェアのため）。
対象版は 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0。自環境の版を確認してから該当パッチを選ぶこと。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
2026年7月の Oracle Critical Patch Update を適用する。これが唯一の恒久対処で、設定変更で塞げるとは公表されていない。Coherence のクラスタ通信（Coherence*Extend の TCP ポート、既定 9099 や TCMP）は本来インターネットへ晒す前提のものではないため、CPU 適用までの暫定策として、クラスタポートへの到達をアプリ層のセグメント内に限定し、外部・DMZ からの直接到達を遮断する。WebLogic Server に同梱されている環境では、WebLogic 側の CPU 適用と併せて実施する。
Critical（CVSS 10.0）に分類されるOracle Oracle Coherence（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0の脆弱性です。Oracle Fusion Middleware の Oracle Coherence（component: Core）に、未認証の攻撃者が TCP 経由のネットワークアクセスだけで悪用できる欠陥がある。CVSS 3.1 基本値は 10.0 で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。認証もユーザー操作も不要なうえ、スコープが変化（S:C）するため、Coherence 自身を越えて同居する資産まで影響が及ぶ想定になっている。対象は 12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0。2026年7月の Oracle Critical Patch Update（cpujul2026）で公表されたもので、同じ CPU では Coherence と WebLogic Server に CVSS 9台の欠陥が多数まとまって出ている。本稿執筆時点で NVD に CWE の割り当ては無く、悪用の事実は確認されていない（KEV 未収載）。
2026年7月の Oracle Critical Patch Update を適用する。これが唯一の恒久対処で、設定変更で塞げるとは公表されていない。Coherence のクラスタ通信（Coherence*Extend の TCP ポート、既定 9099 や TCMP）は本来インターネットへ晒す前提のものではないため、CPU 適用までの暫定策として、クラスタポートへの到達をアプリ層のセグメント内に限定し、外部・DMZ からの直接到達を遮断する。WebLogic Server に同梱されている環境では、WebLogic 側の CPU 適用と併せて実施する。
Oracle Oracle Coherence（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 / 15.1.1.0.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-60217）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/23）。