【ITニュース解説】Oracle's October CPU: six 10.0s, and why T3 is still answering on your perimeter

Oracleは、自社製品のセキュリティ上の弱点、つまり「脆弱性」を修正するための重要なプログラム集を定期的に公開している。これを「クリティカルパッチアップデート（CPU）」と呼ぶ。ソフトウェアには思わぬ「穴」が見つかることがあり、それを放置すると、悪意のある攻撃者にシステムを乗っ取られたり、大切なデータが盗まれたりする危険性があるため、定期的なパッチ適用はシステム運用において非常に重要な作業となる。

2026年10月に公開された今回のCPUは、Oracleの多岐にわたる製品ファミリーの1,295件もの脆弱性に対応する、大規模なものだった。その中でも特に注目すべきは、6件の脆弱性が「CVSS v3.1」という評価基準で最高の「10.0」というスコアを付けられた点である。CVSSは脆弱性の深刻度を客観的に評価するための国際的な基準で、10.0は「極めて危険」であることを意味する。これらの最高スコアの脆弱性は、すべて「リモートから認証なしで悪用可能」という共通の危険な特徴を持っていた。これは、攻撃者がインターネット経由で、ユーザー名やパスワードを入力することなく、直接システムに侵入し、悪意のある操作を行うことができる可能性があることを意味するため、非常に危険な状態と言える。さらに、これらすべての脆弱性には「セキュリティスコープが変更された（scope changed）」という注意書きが付いていた。これは、たとえ一つの脆弱な部分が攻撃されても、その影響が他の関連するシステムやコンポーネントにも広がり、システム全体が危険にさらされる可能性があることを示唆している。

今回の深刻な脆弱性の影響を受けた製品には、Oracle E-Business SuiteのWorkflow Notification Mailerコンポーネント、Oracle SOA SuiteのFabric Layerコンポーネント、Oracle Access Managerの認証エンジン、Oracle JD Edwards EnterpriseOne Orchestratorなどが含まれていた。さらに、通常であれば非常に危険とされる「9.8」のスコアを持つ脆弱性も複数含まれており、Oracle WebLogic Server CoreやOracle APEXなども影響を受けていた。

特に注意すべきは、Oracle WebLogic Serverがリモート管理や企業内のソフトウェアコンポーネント間の通信に利用する「T3」と「IIOP」という二つのプロトコルである。これらはインターネットで一般的に使われるHTTPとは異なり、Webサーバーのログに記録されにくく、一般的なセキュリティ対策機器である「WAF（Web Application Firewall）」による検査の対象外となることが多い。また、多くの企業ではファイアウォールで「内部のアプリケーション層からWebLogicへの通信は許可する」といった大まかな設定がされており、その結果T3やIIOPの通信が広範囲に許可されてしまっているケースが少なくない。今回のCPUで10.0や9.8のスコアが付いたSOA SuiteやWebLogicの脆弱性の多くは、このT3またはIIOPを利用して悪用される可能性があった。このため、システムへのパッチ適用だけでなく、これらのプロトコルを必要な管理用ホストからのみアクセスできるように、ネットワークレベルで厳しく制限することが、非常に重要なセキュリティ対策となる。もしT3やIIOPが広範囲に公開されている環境であれば、これらのパッチは四半期に一度の定期的な作業ではなく、「緊急事態」として直ちに対応する必要がある。

システム管理者は、パッチ適用を行う前に、自社のシステムがどのような状態にあるかを正確に把握しておく必要がある。例えば、どのWebLogicのバージョンが稼働しているか、特に古いバージョン（12.2.1.3.0以前など）がないかを確認することが重要だ。また、過去に導入されたものの、現在では使用されていないにもかかわらず稼働し続けているOracle SOA Suiteのようなコンポーネントも、今回のCPUで指摘された10.0の脆弱性を抱えている可能性があるため、徹底的な棚卸しが必要となる。

「セキュリティスコープが変更された」という特性は、万が一システムが攻撃された際のインシデント対応計画にも大きな影響を与える。この特性を持つ脆弱性でシステムが侵害された場合、単に脆弱なコンポーネントをパッチで修正するだけでは不十分である。なぜなら、そのコンポーネントが保持していたデータベースの認証情報や管理者パスワードなども、すべて漏洩したとみなして対処する必要があるからだ。つまり、関連するすべての認証情報を変更するなどの大規模な対応が求められる。Oracleは、これらの脆弱性が実際に悪用された事例があることを示唆しており、常に最新のパッチを適用し、サポート契約を維持することの重要性を強調している。

では、今回のCPUに対して、システム管理者はまず何から始めるべきなのだろうか。最も優先すべきは、インターネットから直接アクセスできるシステムや、T3プロトコルが外部に公開されているシステムへのパッチ適用である。これらは最も攻撃されやすい経路だからだ。その後、T3とIIOPプロトコルを、ネットワークレベルで厳しく制限することが推奨される。このネットワーク制御は、実装コストがほとんどかからないにもかかわらず、複数の深刻な脆弱性に対する攻撃経路を同時に遮断できる非常に効果的な対策である。そして最後に、後回しにされたシステム、特にレガシーなWebLogicドメインで古いバージョンが稼働しており、T3が公開されたままになっているようなシステムを重点的にチェックし、対策を進める必要がある。このようなシステムは、最新のインベントリダッシュボードには表示されにくい傾向があるため、特に注意が必要となる。

今回のOracle CPUは、定期的なセキュリティ対策の重要性、そして特に注意すべきプロトコルやシステム構成について改めて警鐘を鳴らすものだ。システムエンジニアを目指す者として、このようなセキュリティ情報に常にアンテナを張り、自身の知識をアップデートしていくことは、安全なシステムを構築・運用するために不可欠な姿勢である。