Oracle HTTP ServerとWebLogic ProxyプラグインにCVSS 10.0の重大な不備 CVE-2026-21962 — 既に悪用確認、CISAが8月27日までの対応を指示

米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は2026年8月24日、Oracle HTTP ServerとOracle WebLogic Server Proxyプラグインの不正なアクセス制御の脆弱性 CVE-2026-21962を**KEV（Known Exploited Vulnerabilities Catalog：既知の悪用された脆弱性カタログ）**に追加したと発表した。悪用の証拠に基づいて登録され、連邦民間行政機関（FCEB）には2026年8月27日までの対応が義務付けられた。CISAは連邦機関以外にも同様の優先対応を呼びかけている。

脆弱性の概要と影響

NVDとCISA、Oracleの記述によると、CVE-2026-21962は**Oracle Fusion Middlewareに含まれるOracle HTTP ServerおよびWebLogic Server Proxyプラグイン（Apache HTTP Server用、IIS用）の不正なアクセス制御（CWE-284: Improper Access Control）**に起因する。ネットワーク経由で認証なしに悪用可能で、スコープ変更（Scope: Changed）を伴い、脆弱なコンポーネントを超えて追加製品に影響が波及し得るとされている。

• CVSS 3.1基本値: 10.0（Critical）
• ベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N（攻撃元区分: ネットワーク / 攻撃条件の複雑さ: 低 / 必要権限: なし / ユーザ操作: なし / スコープ: 変更 / 機密性: 高 / 完全性: 高 / 可用性: なし）
• 影響: 重要なデータの不正な作成・削除・改変、および重要なデータへの不正アクセス、または同製品がアクセス可能な全データへの完全なアクセスが可能になる
• 影響を受けるバージョン: 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0。ただしIIS用WebLogic Server Proxyプラグインは12.2.1.4.0のみが影響を受ける（Oracle CPU Jan 2026のNote 1）

Oracleは2026年1月のCritical Patch Update（CPU Jan 2026）で本脆弱性を含む修正を提供している。Fusion Middleware向けの当該CPUでは51件の新規セキュリティパッチが提供され、うち47件が認証なしでリモートから悪用可能とされている。CVE-2026-21962はその中でCVSS 10.0の1件としてリスクマトリクスに記載されている。

CISAの登録と求められる対応

CISAのKEVカタログ上の記述は次のとおりだ。

vulnerabilityName: Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in Improper Access Control Vulnerability
dateAdded: 2026-08-24
dueDate: 2026-08-27
requiredAction: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CISAは、BOD 26-04「Prioritizing Security Updates Based on Risk」（リスクに基づく更新の優先順位付け）に基づき、公開された資産で悪用後に資産全体を制御し得るKEVの脆弱性を最優先で是正するよう求めている。BOD 26-04の適用対象はFCEB機関だが、CISAは全組織に対してもKEVの脆弱性を優先して是正するリスクベースの脆弱性管理を推奨している。また、パッチ適用前に侵害がなかったかの確認（フォレンジック・トリアージ）をいつ実施すべきかの期待値も同指令で示している。

CISAは本脆弱性について**既知のランサムウェアキャンペーンでの悪用は「Unknown（不明）」**と分類しているが、悪用の証拠があるとしてKEVに登録した。

対策はベンダー指示に限定して実施を

本記事の対策・対応に関する記載は、情報ソース（CISAおよびOracle）が実際に公表している内容に限定する。

• CISAは「ベンダー指示に従った緩和策を適用し、クラウドサービスではBOD 22-01のガイダンスに従うか、緩和策がない場合は製品の利用を停止すること」を求めている（KEVカタログのrequiredAction）。
• **OracleはCPU Jan 2026（https://www.oracle.com/security-alerts/cpujan2026.html）で修正パッチを提供している**。同社はMy Oracle Supportのドキュメントでパッチ適用の詳細を示している。

ソースに対策の詳細な手順や回避策の独自解釈は含まれないため、具体的なパッチの適用可否や影響範囲の評価は、OracleのCPU文書と自組織の資産台帳に基づいて判断する必要がある。特にOracle HTTP ServerやWebLogicのプロキシプラグインをインターネットに公開している環境では、スコープ変更により想定外の製品・データへの影響が波及する恐れがあるとして、CISAが優先対応を求めている点に留意したい。

日本の組織への関連性

Oracle HTTP ServerやWebLogic Serverは、国内企業の基幹システムやFusion Middleware基盤で広く利用されている。認証なしでネットワーク経由で悪用可能かつCVSS 10.0という特性から、未適用のまま公開された資産が残ると、重要データの改ざんや窃取に直結するリスクがある。12.2.1.4.0や14.1.1.0.0 / 14.1.2.0.0を利用している組織は、CPU Jan 2026の適用状況とKEV登録（8月24日追加、8月27日期限）の事実を踏まえ、ベンダー指示に基づく対応の要否を速やかに確認することが求められる。

出典

• CISA「CISA Adds One Known Exploited Vulnerability to Catalog」（2026年8月24日） https://www.cisa.gov/news-events/alerts/2026/08/24/cisa-adds-one-known-exploited-vulnerability-catalog
• CISA KEV Catalog（CVE-2026-21962エントリ、dueDate 2026-08-27） https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21962 および https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
• NVD「CVE-2026-21962 Detail」 https://nvd.nist.gov/vuln/detail/CVE-2026-21962
• Oracle「Critical Patch Update January 2026」Risk Matrix（CVE-2026-21962、CVSS 3.1 10.0、影響バージョンの記載） https://www.oracle.com/security-alerts/cpujan2026.html