30秒で判断
- 対応すべき人: Oracle Access Manager（Oracle Fusion Middleware）12.2.1.4.0 / 14.1.2.1.0 を利用している組織
- 対応不要な人: Oracle Fusion Middleware / Access Manager を使用していない環境
- 確認方法: Fusion Middleware のコンポーネント構成とバージョンを確認し、2026年7月 Critical Patch Update（CPU）の適用状況を照合する
概要
Oracle Fusion Middleware の Oracle Access Manager（コンポーネント: Authentication Engine）に、認証を回避できる脆弱性が存在します。認証されていない攻撃者がHTTP経由でネットワークアクセスするだけでOracle Access Managerを侵害でき、成功すると製品全体の掌握（takeover）に至ります。スコープ変更（S:C）を伴い、他の製品にも影響が波及しうる点が特徴です。
CVSSスコアは満点の10.0で、認証・シングルサインオンの基盤を担う製品であることから影響範囲が広い脆弱性です。同じ7月CPUでは Oracle Unified Directory（LDAP経由）、Service Delivery Platform、Managed File Transfer、Identity Manager Connector などにも9.8〜10.0級の脆弱性がまとめて公開されています。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 10.0 |
| 深刻度 | Critical |
| CWE | CWE-284（不適切なアクセス制御） |
| 攻撃元区分 | ネットワーク（HTTP） |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| スコープ | 変更あり（S:C） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Oracle Access Manager | Oracle | 12.2.1.4.0, 14.1.2.1.0 |
修正バージョンと回避策
- 2026年7月 Critical Patch Update（CPU）を適用してください。
- Fusion Middleware は複数コンポーネントが同時に対象となっているため、CPUによる一括適用が効率的です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。