Trusted DesignCVE-2026-21962 の詳細
CVEの情報
説明:
Vulnerability in the Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in product of Oracle Fusion Middleware (component: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS). Supported versions that are affected are 12.2.1.4.0, 14.1.1.0.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in. While the vulnerability is in Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data as well as unauthorized access to critical data or complete access to all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data. Note: Affected version for Weblogic Server Proxy Plug-in for IIS is 12.2.1.4.0 only. CVSS 3.1 Base Score 10.0 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).
CVE更新日: 2026-01-20 22:15:59.110000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2026-08-24
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.731920000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2026-21962に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2026-21962は、Oracle Fusion Middleware製品群に含まれるOracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inにおける、不適切なアクセス制御の脆弱性です。この脆弱性は、WebLogic Server Proxy Plug-inが、受信するHTTPリクエストに対するアクセス制御の検証または実施を適切に行わないことに起因します。これにより、認証されていない攻撃者が認証メカニズムを迂回し、保護されたリソースやデータへの不正アクセスが可能となります。
1.1 影響
本脆弱性が悪用されると、攻撃者は認証されていない状態でネットワーク経由でHTTPアクセスを介して、Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inを危険にさらす可能性があります。この脆弱性はWebLogic Server Proxy Plug-inに存在しますが、攻撃は脆弱なコンポーネント以外の追加製品にも重大な影響を及ぼす可能性があります（スコープ変更）。 攻撃の成功は、機密データへの不正な作成、削除、変更アクセス、またはOracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inがアクセス可能なすべてのデータへの完全なアクセスにつながる可能性があります。
1.2 深刻度
本脆弱性のCVSS 3.1ベーススコアは10.0（Critical）であり、最高レベルの深刻度と評価されています。 Tenable®も深刻度をCriticalとしています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
特定のOSバージョンについては言及されていませんが、Oracle HTTP ServerおよびOracle WebLogic Server Proxy Plug-inの以下のバージョンが影響を受けます。 * Oracle HTTP Server * Oracle WebLogic Server Proxy Plug-in (Apache HTTP Server用およびIIS用) * バージョン 12.2.1.4.0 * バージョン 14.1.1.0.0 * バージョン 14.1.2.0.0 * WebLogic Server Proxy Plug-in for IISの場合、バージョン12.2.1.4.0のみが影響を受けます。
2.2 影響を受ける設定
WebLogic Server Proxy Plug-inが、Apache HTTP ServerまたはIISのいずれかのフロントエンドWebサーバーとバックエンドのWebLogic Serverインスタンス間の仲介役として構成されている環境が影響を受けます。 このプラグインが受信HTTPリクエストに対してアクセス制御を適切に適用しないことが問題です。
3. 影響を受けた時の兆候
以下のような兆候が考えられます。 * WebLogic Proxy Plug-inエンドポイントを標的とした、異常なHTTPリクエストパターン（不正または疑わしいヘッダーを伴うもの）。 * 認証されたセッションを伴わない、Oracle HTTP ServerまたはWebLogic Serverログにおける予期しないデータアクセスまたは変更イベント。 * プロキシプラグインサーバーから未承認の宛先への異常なアウトバウンドトラフィック。
4. 推奨対策
4.1 本対策
Oracleは、2026年1月20日にこの脆弱性に対するパッチを公開しています。 ベンダーの指示に従って軽減策を適用し、CISAのBOD 26-04「リスクに基づいたセキュリティアップデートの優先順位付け」のガイダンスおよびCISAの「フォレンジックトリアージ要件」を遵守することが求められます。
4.2 暫定回避策（緩和策）
不明。 CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、2026年8月27日までに修正措置を講じる期限が設定されています。 期限までに修正が行われない場合、Plan of Action and Milestones (POA&M) の項目となり、継続的な監視レビューにおいて問題となる可能性があります。
他に解説すべき観点
参照したサイト