Oracle Releases 943 Security Patches to Fix Critical Vulnerabilities Across Enterprise Products
2026/08/19 gbhackers — Oracle は、2026年8月の Critical Security Patch Update (CSPU) の一環として 943 件の脆弱性に対するセキュリティ・パッチをリリースし、同社のエンタープライズ・ソフトウェア・ポートフォリオ全体で新たに公表された脆弱性に対処した。このアップデートは、Premier Support／Extended Support の対象となる Oracle 製品に影響を及ぼす、CVE 識別子で追跡される各種の脆弱性を修正するものである。
Oracle が 943 件のセキュリティ・パッチをリリース
脆弱性の詳細は製品固有のリスク・マトリクスに記載されており、影響を受けるコンポーネント／悪用の前提条件／潜在的な影響が示されている。Oracle は CVSS v3.1 を使用して脆弱性の深刻度を評価しているため、ユーザー組織は自環境に関連する深刻度と悪用条件に基づいて修復の優先順位を決定できる。また、CSPU で修正された複数の脆弱性は複数の Oracle 製品に影響を及ぼすことから、同じ CVE ID が複数のリスク・マトリクスに記載されている。
アドバイザリで注目すべき CVE として挙げられているのは、CVE-2026-60884／CVE-2026-60392／CVE-2026-60590／CVE-2026-60591／CVE-2026-61308／CVE-2026-70906／CVE-2026-71062／CVE-2026-71073／CVE-2026-71079／CVE-2026-71084 といった CVE であり、これらには CVE-2026-711xx に分類される脆弱性も含まれている。
このアップデートでは、NCS Pte Ltd／Viettel Cyber Security／TrendAI Zero Day Initiative／Horizon3.ai／MongoDB／Octane Security／JeroScope／DEVCORE Research Team／Team SaturnX などに所属する研究者の功績が認められている。その中でも、Team SaturnX の研究者 Myeonghun Pak／Seongmin Kim は、CVE-2026-71127〜CVE-2026-71140 を含む多数の脆弱性を報告している。
Oracle が顧客に強く推奨しているのは、悪用が成功した場合の潜在的な影響を踏まえ、最新の CSPU パッチを可能な限り早期に適用することである。攻撃に必要なネットワーク・プロトコルの遮断や不要な権限の制限などの一時的な緩和策により攻撃対象となる範囲を低減できるが、根本的な脆弱性は解消されないため、同社はこれらをパッチ適用の代替策とはしていない。
また、このような制御はビジネス・アプリケーションの動作を妨げる可能性があるため、展開前に非本番環境で検証することが重要である。さらにアドバイザリでは、リスク・マトリクスにおいて HTTP が影響を受けるプロトコルとして記載されている場合、HTTPS もリスクにさらされると考えるべきだと説明している。
セキュリティ・パッチが提供されるのは、Oracle の Premier Support または Extended Support のライフサイクル・フェーズに含まれるリリースのみであり、サポート対象外の製品バージョンについては、2026年8月の CSPU で対処された脆弱性に対するテストが実施されていないと Oracle は警告している。
それらの製品も一連の脆弱性の影響を受ける可能性があるため、サポート対象外の Oracle 環境を運用する組織には、最新の修正を適用する前にサポート対象バージョンへのアップグレードを優先することが求められる。さらに、以前のパッチ・サイクルをスキップした企業には、過去の Oracle Critical Patch Update／Critical Security Patch Update アドバイザリも確認することが求められる。以前のリリースで修正された脆弱性が、依然として悪用可能な状態で残っている可能性があるためである。
一方、Oracle は、特定の Oracle 製品内では悪用できないと判断したサードパーティ・コンポーネントの脆弱性も一覧にしている。これらの項目には Vulnerability Exploitability eXchange (VEX) の根拠が含まれており、セキュリティ・チームが該当するサードパーティ・リスクと、製品内で悪用できないコンポーネントを区別するために役立つ。
Oracle が予定している今後のセキュリティ・リリース日は、2026年9月15日／10月20日／11月17日／12月15日である。
2026 年 8 月のセキュリティ更新では、企業の基幹業務を支える Oracle 各種製品に内在する多数の欠陥が修正されました。認証を回避した不正アクセスやシステムの無応答化といった被害を及ぼす危険性があるため、早期のバージョン改修／リスク・マトリクスによる影響範囲の調査／非本番環境での稼働検証／システム全体の最新化が対応策として適用を求められます。なお特に深刻とされる脆弱性として CVE-2026-60884／CVE-2026-60392／CVE-2026-60590／CVE-2026-60591／CVE-2026-61308／CVE-2026-70906／CVE-2026-71062／CVE-2026-71073／CVE-2026-71079／CVE-2026-71084 (CVE-2026-71127 〜 CVE-2026-71140 も含む) などの存在が報告されており、安全な運用の確立が必要とされます。
IoT OT Security News 
You must be logged in to post a comment.