Oracleの管理者は今週、1,000件を超える脆弱性を評価する必要があり、そのうち6件はCVSSで最高となる10.0のスコアを持つ。修正対象は、認証、財務、データベースなどの重要な業務で使われるソフトウェアに及ぶ。
Tenableの分析によると、10月20日に公開されたOracleの四半期ごとのCritical Patch Updateには、33の製品ファミリーにまたがる1,209件の固有のCVEに対処する1,295件のセキュリティーパッチが含まれている。最大深刻度の欠陥のいくつかは、認証なしでリモートから悪用される可能性がある。セキュリティーチームは、影響を受ける環境、特に信頼できないネットワークから到達可能なサービスを特定する必要がある。
CVSS 10.0の欠陥6件が主要なエンタープライズシステムに影響
Oracle公式のリスクマトリクスは、いずれも認証なしでリモートから悪用される可能性がある、最大深刻度の脆弱性6件を特定している。影響を受けるのは、4つのエンタープライズソフトウェア群だ。
| Oracle製品 | CVE識別子 |
|---|---|
| E-Business Suite Workflow Notification Mailer | CVE-2026-101809 |
| Oracle Access Manager | CVE-2026-87337 |
| Oracle SOA Suite | CVE-2026-91231、CVE-2026-91216、CVE-2026-91221 |
| JD Edwards EnterpriseOne Orchestrator | CVE-2026-91299 |
Oracleが挙げる影響対象のバージョンは、E-Business Suiteが12.2.3から12.2.15、Access Managerが12.2.1.4.0および14.1.2.1.0、SOA Suiteが12.2.1.4.0および14.1.2.0.0、JD Edwards EnterpriseOne Orchestratorが9.2.0.0から9.2.26.5となっている。
Access ManagerとSOAアダプターの問題はHTTPを使用し、SOA Fabric Layerの2件の欠陥はT3とIIOPに関係する。認証なしで悪用される可能性があることは、攻撃が発生したことを示すものではない。アドバイザリーは、これら6件のCVEが実際に悪用されていることを確認していない。
Fusion Middlewareが最多の修正件数
Tenableは、95件の固有のCVEを対象とする重大なパッチを112件数えた。Oracle Fusion Middlewareには206件のパッチが提供され、そのうち134件は認証なしでリモートから悪用される可能性がある。続いてE-Business Suiteが194件、Siebel CRMが122件、Communicationsが110件、PeopleSoftが109件、JD Edwardsが102件だった。
パッチの件数と脆弱性の件数が異なるのは、1つのCVEに対して複数のOracle製品で修正が必要になる場合があるためだ。複数の製品ファミリーを利用している企業では、同じ根本的な問題に対処するために異なるアップデートが必要になることがある。Oracleの 943件の脆弱性を対象とした以前のパッチリリースは、繰り返し発生するパッチ作業の背景をさらに示している。
セキュリティーチームがOracleのパッチに優先順位を付ける方法
Oracleは、顧客に対し、10月のアップデートを速やかにインストールし、製品固有のパッチガイダンスを利用するよう促している。
管理者は、深刻度、ネットワークへの露出、事業への影響に基づいて影響を受けるシステムの優先順位を決め、アプリケーション所有者と連携してテストと展開を進めるべきだ。内部システムも評価する必要がある。インターネットからのアクセスを制限しても、悪用への経路がすべてなくなるわけではない。
E-Business Suiteの管理者は、基盤となるOracle DatabaseとFusion Middlewareのコンポーネントを個別に確認すべきだ。Oracleによると、これらのセキュリティーアップデートはE-Business Suiteのリスクマトリクスに含まれていないため、そのマトリクスだけを確認すると、関連する修正を見落とす可能性がある。
- 露出資産を特定する：Oracle製品とバージョンを、ベンダー管理のシステムも含めて一覧化する。Oracleのリスクマトリクスと照合し、インターネットに公開された認証、ワークフロー、アプリケーションサービスを特定する。以前の OracleのSQLインジェクション攻撃によるリモートコード実行は、露出したアプリケーションを評価する際の追加の参考となる。
- パッチ適用中のアクセスを制限する：脆弱なHTTP、T3、IIOPのエンドポイントを優先する。不要なネットワークへの露出を制限し、メンテナンス期間を調整したうえで、アップデートをインストールする前にバックアップとロールバックの手順を準備する。
- 修正を確認する：インストールされたパッチレベルを確認し、重要な業務機能をテストし、必要に応じて再スキャンを実施する。未解決の例外は、担当者と目標日を割り当てて追跡する。
Oracleの管理を外部委託している企業は、アップデートが予定されているというベンダーの保証だけでなく、パッチ展開の証拠を求めるべきだ。直ちに修正することが難しい場合は、一時的なアクセス制御と明確な見直し日を文書化する。以前の Webアプリケーションファイアウォールのルールを迂回したPeopleSoftへの攻撃は、代替制御の検証が必要であり、基盤となるパッチの代わりにはならない理由を示している。セキュリティーチームは、悪用が発生したと決めつけることなく、異常な活動がないか関連ログも確認すべきだ。
併せて読む：所有権と検証が重要である理由を示す最近の事例として、 パッチ未適用のOracle PeopleSoftシステムがFBI関連のShinyHuntersによる侵害でどのような役割を果たしたか。