最近の脆弱性 › CVE-2024-21182

Oracle WebLogic Server の脆弱性（CVE-2024-21182）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-21182
製品	Oracle WebLogic Server
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2026-06-01
米国政府機関の対応期限	2026-06-04
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	不明

何が起きた

Oracle WebLogic Server の Core という部分に、詳しい中身が公表されていない弱点が見つかりました。悪用されると、重要なデータに不正にアクセスされたり、WebLogic Server が扱えるデータをすべて見られたりするおそれがあります。ネットワーク経由で、ログインしていない攻撃者が T3 や IIOP という通信方式を使って悪用できるとされています。実際に悪用されたことが CISA の KEV で確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。影響を受けるバージョンは 12.2.1.4.0 と 14.1.1.0.0 です。

何をすればいい

Oracle が 2024年7月に公開した Critical Patch Update（定期の修正パッチ）を当ててください。T3 や IIOP の通信を、インターネットなど信頼できない場所から受け付けていないかも見直してください。あわせて Oracle の公式の案内を確認してください。

やることチェックリスト

2024年7月の Critical Patch Update を適用する
12.2.1.4.0 と 14.1.1.0.0 の稼働状況を調べる
T3 と IIOP を外部から受け付けないよう制限する

用語メモ

T3: Oracle WebLogic Server が、サーバーどうしやプログラムとのやりとりに使う独自の通信方式です。
IIOP: 別々のコンピューターにあるプログラムどうしが呼び出し合うための通信方式の一つです。
Critical Patch Update: Oracle が年に数回、決まった時期にまとめて出すセキュリティの修正パッチです。

元データ（英語・CISA KEV より）

Oracle WebLogic Server Unspecified Vulnerability

概要

Oracle WebLogic contains an unspecified vulnerability that could allow an unauthenticated attacker with network access via T3, IIOP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle WebLogic Server accessible data.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.