本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 10.0 急ぎ度: 至急

Oracle SOA Suiteが認証なしで乗っ取られる恐れ

Oracle SOA Suite 12.2.1.4.0 と 14.1.2.0.0 に、ネットワークから認証なしで製品を乗っ取られるおそれのある弱点が見つかりました(CVSS 10.0)。T3 や IIOP で SOA Suite に到達できる環境が対象です。Oracle の 2026年10月 Critical Patch Update の告知で対象パッチを確認して適用し、パッチを当てるまでは T3 と IIOP の通信を制限してください。

CVE-2026-91221 公開 生成 AI で作成
画像は生成 AI で作成したイメージです

急ぎ度: 至急

認証も利用者の操作も要らず、ネットワーク越しに悪用でき、影響が他の製品にも及ぶ最高点(CVSS 10.0)の弱点だからです。

関係があるか

Oracle Fusion Middleware の Oracle SOA Suite 12.2.1.4.0 または 14.1.2.0.0 を社内外のシステム連携基盤などで使っている組織が対象です。特に T3 や IIOP の通信が社外や広い社内ネットワークから届く構成は優先して確認してください。

製品影響を受ける版直った版
Oracle SOA Suite(Oracle Fusion Middleware、コンポーネント: Fabric Layer) 12.2.1.4.0、14.1.2.0.0 2026年10月 Critical Patch Update で対応。対象パッチの番号は Oracle の告知(https://www.oracle.com/security-alerts/cpuoct2026.html)で確認してください

確かめ方

  1. 1SOA Suite を使っているかを、資産台帳や WebLogic Server のドメイン構成から確認します。
  2. 2稼働中の版を確認します。Oracle ホームで $ORACLE_HOME/OPatch/opatch lsinventory を実行すると、導入済みの製品とパッチの一覧が出ます。
  3. 3SOA Suite が動く WebLogic Server のリッスンポートに、T3 や IIOP で届く経路があるかをネットワーク担当者と確認します。インターネット側や、利用者端末のネットワークから届く場合は最優先です。
  4. 4Oracle の告知で、自社の版に対応するパッチが導入済みかを突き合わせます。

何が起きたか

Oracle SOA Suite に、ログインしていない第三者がネットワーク経由で製品を乗っ取れる可能性のある弱点が見つかりました。Oracle が 2026年10月の定例のセキュリティ更新(Critical Patch Update)で公表したもので、CVSS 3.1 の基本値は満点の 10.0 です。

SOA Suite は、社内の複数のシステムをつなぎ、データのやり取りや業務の流れを制御する基盤です。弱点があるのは Fabric Layer というコンポーネントで、T3 と IIOP という通信方式から到達できます。Oracle は「悪用が容易」と説明しています。

この弱点は「スコープの変更」を伴います。弱点があるのは SOA Suite ですが、被害は SOA Suite 自身にとどまらず、同じ基盤につながる他の製品や情報にも大きく及ぶおそれがあります。機密性・完全性・可用性のいずれにも高い影響が想定されています。

実際の攻撃で悪用されたという公表は、現時点で明らかになっていません。ただし、認証が要らず、ネットワークから悪用できる条件がそろっているため、公表後は攻撃が試される可能性が高まります。

攻撃の流れ

  1. 1

    到達可能か探す

    攻撃者が、T3 や IIOP で SOA Suite のサーバーに通信できるかを調べます。

  2. 2

    認証なしで接続

    ログインの手続きを経ずに、弱点のある Fabric Layer に通信を送ります。

  3. 3

    SOA Suite の乗っ取り

    弱点を突かれ、SOA Suite の制御を奪われるおそれがあります。

  4. 4

    他の製品へ波及

    同じ基盤につながるシステムや情報にも影響が広がるおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用に必要なのは、T3 または IIOP で SOA Suite のサーバーにネットワーク接続できることです。認証は不要で、利用者に何かを開かせる必要もありません。複雑な条件も要らないと Oracle は評価しており、攻撃の難易度は低いとされています。

悪用に成功すると、SOA Suite を乗っ取られるおそれがあります。具体的には、業務データの閲覧や持ち出し、設定やデータの改ざん、サービス停止などが想定されます。さらに影響が他の製品にも及ぶため、SOA Suite がつなぐ基幹システムや連携先に被害が広がる可能性があります。

今すぐやること

  1. 1

    対象かどうかを特定する

    SOA Suite が動いているサーバーと版を洗い出し、12.2.1.4.0 または 14.1.2.0.0 が含まれるかを確認します。開発・検証環境も対象に含めてください。

    $ORACLE_HOME/OPatch/opatch lsinventory
  2. 2

    T3 と IIOP の到達範囲を絞る

    ファイアウォールやネットワーク ACL で、T3 と IIOP の通信を必要な管理端末や連携元だけに限ります。インターネットから届く構成であれば、まず遮断します。

  3. 3

    Oracle の告知で対象パッチを確認する

    2026年10月 Critical Patch Update の告知で、自社の版に対応するパッチと適用手順を確認します。

  4. 4

    検証のうえ早期にパッチを適用する

    連携先への影響を検証環境で確かめ、本番に適用します。適用後は、版とパッチの状態を再度確認します。

    $ORACLE_HOME/OPatch/opatch lsinventory
  5. 5

    不審な接続の痕跡を確認する

    パッチ適用の前後で、SOA Suite サーバーへの想定外の接続元や、不自然な管理操作がないかをログで確認します。

すぐ更新できないとき

パッチをすぐに適用できない場合は、T3 と IIOP の通信をネットワーク側で制限し、必要な接続元だけに絞ってください。WebLogic Server の接続フィルタで、これらのプロトコルの接続元を制限する方法もあります。ただし、この弱点に対する Oracle の公式な回避策の有無は、告知で確認してください。制限は一時的な備えにとどまるため、パッチの適用は必要です。

背景

Oracle SOA Suite は、WebLogic Server の上で動く統合基盤で、基幹システムや外部サービスのあいだでデータを受け渡し、処理の流れを管理する役割を持ちます。多くのシステムとつながるため、侵害された場合の影響範囲が広くなりやすい製品です。

WebLogic Server を含む Oracle Fusion Middleware では、T3 や IIOP といった独自の通信方式に関わる弱点が、これまでも繰り返し問題になってきました。これらの通信は本来、サーバー同士や管理用途での利用を想定したものですが、外部から届く状態になっていると、認証なしの攻撃を受ける入口になりえます。Oracle は四半期ごとに Critical Patch Update をまとめて公開しており、今回の弱点もその 2026年10月分で公表されています。

よくある質問

Q.すでに攻撃に使われていますか。
A.実際の攻撃での悪用は、現時点で公表されていません。ただし、認証不要で到達しやすい弱点のため、公表後に攻撃が試される可能性はあります。最新の状況は Oracle の告知で確認してください。
Q.インターネットに公開していなければ安全ですか。
A.安全とは言えません。社内の他の端末が侵害された場合や、取引先との接続経路から T3 や IIOP に届く場合は、同じように攻撃を受けるおそれがあります。公開していなくても、到達できる範囲を確認してください。
Q.12.2.1.4.0 と 14.1.2.0.0 以外の版は対象ですか。
A.対象として公表されているのはこの 2 つの版です。サポート終了済みの古い版については公表されていないため、利用している場合は Oracle の告知やサポート窓口で確認してください。

まだ分かっていないこと

  • 実際の攻撃で悪用されているかどうかは、公表されていません。
  • 攻撃を受けた場合に残る痕跡(ログの特徴など)は、現時点で明らかになっていません。
  • パッチを適用できない場合の公式な回避策は、告知の内容を確認する必要があります。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

Vulnerability in the Oracle SOA Suite product of Oracle Fusion Middleware (component: Fabric Layer). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3, IIOP to compromise Oracle SOA Suite. While the vulnerability is in Oracle SOA Suite, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle SOA Suite. CVSS 3.1 Base Score 10.0 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).

出典: NIST National Vulnerability Database NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく