つみかさね

CVE-2026-21962

Critical(10)

Oracle HTTP Server / WebLogic Proxy Plug-inの認証不要リモート侵害 CVE-2026-21962：影響範囲と対応方法

公開日: 2026-08-26データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
WebLogic Server Proxy Plug-in for Apache HTTP ServerOracle12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0
WebLogic Server Proxy Plug-in for IISOracle12.2.1.4.0

対応ガイド

high|対応必須セキュリティ修正影響: 極めて広範

推奨アクション

  1. 1WebLogic Server Proxy Plug-in（Apache HTTP Server / IIS 向け）の利用有無とバージョンを確認する
  2. 22026年1月の Oracle Critical Patch Update（CPU Jan 2026）のパッチを適用する
  3. 3即時適用が難しい場合は当該プラグインの外部露出を制限し、WAF/アクセス制御で保護する

影響対象

Oracle WebLogic Server Proxy Plug-in（Apache HTTP Server / IIS）利用環境

対応不要な人

  • ✓WebLogic Server Proxy Plug-in を利用していない
  • ✓2026年1月の Oracle CPU を適用済み（修正版）

補足

  • -CISA KEV 掲載・悪用確認済みのため、暫定対応であっても入口の露出低減を最優先してください
CVEOracleWebLogicApache HTTP Server認可バイパスKEV

Oracle HTTP Server / WebLogic Proxy Plug-in の認証不要リモート侵害（CVE-2026-21962）

30秒で判断

  • 対応すべき人: Oracle Fusion Middleware の WebLogic Server Proxy Plug-in（Apache HTTP Server 向け／IIS 向け）を利用し、バージョン 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 を使用している環境
  • 対応不要な人: WebLogic Server Proxy Plug-in を利用していない／2026年1月の Oracle Critical Patch Update（CPU）を適用済みの環境
  • 確認コマンド: リバースプロキシ構成の mod_weblogic（Apache）または ISAPI フィルタ（IIS）の導入有無と Fusion Middleware のパッチ適用状況を確認
  • 深刻度: CVSS 10.0（Critical）。CISA の KEV（Known Exploited Vulnerabilities）カタログに掲載され、悪用が確認されています。PoC も公開されています

概要

CVE-2026-21962 は、Oracle Fusion Middleware の Oracle HTTP Server / Oracle WebLogic Server Proxy Plug-in（コンポーネント: Apache HTTP Server 向けおよび IIS 向けの WebLogic Server Proxy Plug-in）に存在する不適切なアクセス制御（CWE-284）の脆弱性です。

認証されていないリモートの攻撃者が、ネットワーク経由の HTTP アクセスだけで Oracle HTTP Server / WebLogic Server Proxy Plug-in を侵害できます。攻撃条件が容易（AC:L、PR:N、UI:N）なうえ、影響範囲が該当コンポーネントを越えて拡大する スコープ変更（S:C） を伴うため、CVSS 3.1 ベーススコアは最大値の 10.0 となっています。成功すると、アクセス可能な重要データの不正な作成・削除・改ざん、および全データへの不正アクセスに至り得ます。

CISA の KEV カタログに登録されており、実環境での悪用が確認されています。認証を必要とせずリモートから侵害できる点、Web 層の入口に位置するプラグインである点から、優先度は最上位です。

CVSSベクトル

指標値意味
Attack Vector (AV)N（Network）ネットワーク経由で攻撃可能
Attack Complexity (AC)L（Low）攻撃条件が容易
Privileges Required (PR)N（None）権限不要
User Interaction (UI)N（None）ユーザー操作不要
Scope (S)C（Changed）影響が他コンポーネントへ波及
Confidentiality (C)H（High）機密性への影響大
Integrity (I)H（High）完全性への影響大
Availability (A)N（None）可用性への直接影響なし

ベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N（Base Score 10.0）

影響を受けるソフトウェア

製品コンポーネント影響バージョン
Oracle Fusion MiddlewareWebLogic Server Proxy Plug-in for Apache HTTP Server12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0
Oracle Fusion MiddlewareWebLogic Server Proxy Plug-in for IIS12.2.1.4.0 のみ

修正バージョンと回避策

  • 2026年1月の Oracle Critical Patch Update（CPU Jan 2026） で修正が提供されています。Oracle のセキュリティアラート（cpujan2026.html）に従い、該当パッチを適用してください。
  • 即時のパッチ適用が難しい場合は、当該プラグイン経由の外部公開を一時的に制限し、WAF やアクセス制御で入口を保護することを検討してください。KEV 掲載・悪用確認済みのため、暫定対応であっても露出低減を優先することを推奨します。

関連リンク

データソース: NVD (NIST), CISA KEV AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2019-2725Oracle WebLogic Server の逆シリアル化によるリモートコード実行CVSS 9.8CVE-2020-1938Apache Tomcat AJP（Ghostcat）ファイル読み取りCVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-21962
Oracle:https://www.oracle.com/security-alerts/cpujan2026.html
CISA KEV:https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21962
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。