CVE-2026-21962が悪用中、Oracle HTTP Server関連のCVSS 10.0脆弱性に注意

米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inに影響する脆弱性「CVE-2026-21962」を、実際の悪用が確認された脆弱性をまとめるKnown Exploited Vulnerabilities（KEV）カタログに追加しました。CVSSスコアは10.0で、認証を必要とせず、HTTP経由で重要なデータへ不正アクセスされたり、データを変更されたりする可能性があると報告されています。Oracleは2026年1月に修正パッチを公開しています。
The Hacker News：Actively Exploited Oracle WebLogic Flaw Lets Unauthenticated Attackers Access Critical Data

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

Oracle HTTP Server
Oracle WebLogic Server Proxy Plug-in
HTTP経由でネットワークからアクセス可能な、上記製品を利用している環境

推奨される対策

Oracleが2026年1月に公開したCVE-2026-21962向けの修正を適用しているか確認してください。
Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inを利用しているシステムの有無を確認してください。
外部からHTTP経由でアクセス可能な対象システムが存在する場合は、修正状況を優先的に確認してください。
すでに悪用が報告されていることを踏まえ、未修正の環境を放置しないことが重要です。

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

CVE-2026-21962：Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inに影響する脆弱性に付与された共通脆弱性識別子です。
CVSS：脆弱性の深刻度を数値で評価するための指標です。CVE-2026-21962については10.0とされています。
KEV：CISAが公開しているKnown Exploited Vulnerabilities Catalogの略称で、実際の悪用が確認されている脆弱性を掲載するカタログです。
認証不要：ユーザー名やパスワードなどによるログインを行わなくても、脆弱性を悪用できる条件を意味します。
RCE：Remote Code Executionの略で、外部から対象システム上でコードを実行できる種類の脆弱性を指します。元記事では、CVE-2026-21962とは別の過去のWebLogic脆弱性についてRCEとして言及されています。
ハニーポット：攻撃者の活動や攻撃手法を観測する目的で設置される監視用のシステムです。

認証なしで重要データへアクセスされる可能性

CVE-2026-21962は、Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inに存在するアクセス制御上の問題として報告されています。攻撃者は有効なアカウントを事前に取得する必要がなく、対象システムへHTTP経由でネットワークアクセスできる条件下で脆弱性を悪用できる可能性があります。CVSSスコアは10.0とされており、非常に高い深刻度として評価されています。悪用に成功した場合、対象製品からアクセス可能な重要データについて、本来許可されていない閲覧だけでなく、作成、削除、変更などが行われる可能性があるとCISAは説明しています。また、対象製品からアクセス可能なデータ全体へ不正にアクセスされる可能性も指摘されています。そのため、この問題を単なるWebサーバーの軽微な設定上の不備として扱うことは適切ではありません。企業が対象製品を利用している場合には、まず利用状況と修正パッチの適用状況を確認し、外部からHTTPで到達可能な環境について優先的に対応する必要があります。

修正公開後も確認された実際の攻撃活動

この脆弱性で特に注意すべき点は、修正パッチが公開されているにもかかわらず、実際の悪用活動が報告されていることです。Oracleは2026年1月にCVE-2026-21962への修正を公開しましたが、その後、GreyNoise、CloudSEK、SOCRadarなどの民間セキュリティ企業から悪用に関する報告が出ています。2026年2月には「193.24.123[.]42」とされる単一のIPアドレスから、Oracle WebLogicを含む複数製品の既知の脆弱性を狙った活動が確認されたと報告されています。さらに翌月には、CloudSEKがハニーポット環境に対する悪用の試みを観測しました。また、CVE-2026-21962は、中国と関連するとされる脅威アクターが100カ国を超える政府機関や商用インフラを標的とした攻撃で利用した複数の脆弱性の一つとしても報告され、SNOWLIGHTと呼ばれるダウンローダーの配布に関連付けられています。なお、同じ観測では過去のWebLogic Server関連RCE脆弱性も狙われていましたが、それらはCVE-2026-21962とは別の脆弱性です。

国内企業も対象製品とパッチ適用状況の確認を

今回の報告を受け、日本国内の組織でもOracle HTTP ServerまたはOracle WebLogic Server Proxy Plug-inを利用していないか確認することが重要です。CVE-2026-21962は新たに修正方法が見つかっていない脆弱性ではなく、Oracleが2026年1月に修正パッチを公開済みです。一方で、その後も悪用活動が報告され、CISAは実際に悪用されている脆弱性としてKEVカタログへ追加しました。米国のFederal Civilian Executive Branch（FCEB）機関については、2026年8月27日までに必要な修正を適用することが推奨されていました。日本企業にこの期限がそのまま適用されるものではありませんが、すでに攻撃で利用されていることは対応の優先度を判断するうえで重要な情報です。対象製品を使用している組織では、製品の利用有無だけでなく、2026年1月に公開された修正が実際の運用環境へ適用されているかを確認する必要があります。特にインターネットなど外部ネットワークからHTTP経由で到達可能な環境については、未修正状態のまま運用を続けないことが重要です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）