Oracle Product Lifecycle Analytics のアクセス制御不備

Critical（CVSS 9.0）に分類されるOracle Supply Chain / Product Lifecycle Analyticsの脆弱性です。Oracle Supply Chain の Oracle Product Lifecycle Analytics（コンポーネントは Installation Issues）にアクセス制御の不備があり、製品が動いているインフラにログオンできる未認証の攻撃者が、製品を掌握できる。影響を受けるサポート対象版は 3.6.1 のみで、修正は 2026 年 7 月の Critical Patch Update（cpujul2026）で提供されている。Oracle の記述で押さえておくべき点は二つある。一つは前提が AV:L、つまりネットワーク越しではなく当該ホストにログオンできることであり、もう一つはスコープ変更（S:C）が付いていて「脆弱性は Product Lifecycle Analytics にあるが、攻撃は他の製品にも大きな影響を及ぼし得る」と明記されていることである。つまり同一ホストに同居している他の Oracle 製品や、その資格情報まで巻き込まれる想定になっている。影響は機密性・完全性が High、可用性は None である。CVSS は NVD（Primary、nvd@nist.gov）と Oracle（CNA、Secondary）がいずれも 9.0 Critical（CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）で一致しており、評価元による食い違いは無い。コンポーネント名が Installation Issues であること以上の技術的詳細は、Oracle が個別の脆弱性の分析内容を公開しない方針であるため示されていない。CISA KEV には未収載で、NVD の vulnStatus は Analyzed である。

まず該当の有無だが、対象はサポート対象版のうち 3.6.1 だけなので、Product Lifecycle Analytics を導入しているか、その版が 3.6.1 かという二点で切り分けられる。PLA は Agile PLM 系の分析用に導入されている、いわば脇役のコンポーネントなので、資産台帳から漏れている・導入担当者が既にいないという形で見落とされやすい。ホスト上の Oracle のインベントリ（OPatch の lsinventory）や導入ディレクトリの有無から機械的に洗い出すのが確実である。攻撃の前提がホストへのログオンなので、判定と同時に「そのホストに誰がログインできるか」を確認する意味がある。すぐ 2026 年 7 月の CPU を当てられない場合は、前提条件を削る方向で凌ぐ。対象ホストへの対話ログインを止めて踏み台経由に限定する、一般利用者のシェルアカウントを削除する、PLA を実際に使っていないなら停止・アンインストールする、という手当てが効く。加えてスコープ変更が付いている点を踏まえ、同じホストに他の Oracle 製品や重要な資格情報ファイルを同居させている構成なら、この機会に分離を検討する価値がある。コンポーネントが Installation Issues とされていることから、導入時に作られるファイルやディレクトリの権限設定が関わる可能性は高いが、Oracle が詳細を公開していないため、権限を手で締めることが修正の代替になるとは考えないほうがよい。完了条件は、PLA 3.6.1 を導入している全ホストで 2026 年 7 月の CPU の該当パッチが適用済みであること、使っていない導入は撤去されていること、対象ホストにログオンできる主体が業務上必要な範囲に絞られていること、の三点が確認できた時点である。KEV 未収載なので CISA の是正期限は無いが、9.0 という評価と他製品への波及が明記されている点から、四半期の CPU 適用サイクルの中では優先度を上げて扱うのが妥当である。

Oracle Supply Chain / Product Lifecycle Analytics を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-61174）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。