概要
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月24日、Oracle HTTP ServerおよびWebLogic Server Proxy Plug-inに存在する最大深刻度の脆弱性CVE-2026-21962を、既知の悪用脆弱性(KEV)カタログに追加した。CVSSスコアは満点の10.0で、認証なしでネットワーク経由から悪用可能。連邦文民行政機関(FCEB)に対しては、CISAが課す期限としては最短クラスとなる3日間、8月27日までのパッチ適用が義務付けられた。すでに実際の攻撃キャンペーンで悪用が確認されており、企業や組織は早急な対応が求められる。
脆弱性の詳細
CVE-2026-21962は「不適切なアクセス制御」(CWE-284)に分類される脆弱性で、影響を受けるのはOracle HTTP ServerとWebLogic Server Proxy Plug-in(バージョン12.2.1.4.0、14.1.1.0.0、14.1.2.0.0)。このプラグインはHTTPサーバーとWebLogicアプリケーションサーバーを連携させる役割を担うコンポーネントである。攻撃の複雑度は低く、認証情報を持たないリモート攻撃者でも悪用可能とされる。成功した場合、攻撃者は重要データの不正な作成・削除・改ざんを行えるほか、Oracle環境全体への広範なアクセスを獲得しうる。
CISAの対応と悪用の経緯
Oracleはこの脆弱性を2026年1月20日の定例セキュリティアップデートで開示し、同時に修正パッチを提供していた。しかし公開からまもない1月22日から2月3日にかけて、攻撃者による自動化されたスキャンツールを用いた広範な探索活動が観測されており、PoC(概念実証)エクスプロイトの公開後に攻撃が本格化したとみられる。SecurityWeekの報道によれば、中国系とみられる攻撃者グループが政府機関のインフラを標的にした事例も確認されている。
初期開示から約7か月が経過した8月24日、CISAはようやくこの脆弱性をKEVカタログに追加し、連邦機関に対して8月27日までという極めて短い期限でのパッチ適用を指示した。セキュリティ企業GreyNoiseとCloudSEKもそれぞれ独自に悪用活動を追跡しており、CloudSEKのハニーポットは、CVE-2026-21962を含む「悪用が容易で効果の高い脆弱性」を狙った継続的な攻撃キャンペーンを検出したと報告している。
背景と今後の対応
WebLogic Serverは以前から攻撃者に狙われやすいソフトウェアとして知られており、CISAのKEVカタログには関連する脆弱性がすでに12件以上登録されている。今回のCVE-2026-21962は、パッチが半年以上前から提供されていたにもかかわらず広範囲で悪用が続いていた点が問題視されており、パッチ適用の遅れが引き続き大規模な攻撃の温床となっている実態を浮き彫りにしている。連邦機関以外の組織であっても、影響を受けるバージョンのOracle HTTP ServerやWebLogic Server Proxy Plug-inを利用している場合は、速やかな更新プログラムの適用が強く推奨される。