• ひとことでOracle WebLogic Server で、ログインなしに大事なデータを読まれるおそれがある弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやること2024年7月の Critical Patch Update を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-21182
製品Oracle WebLogic Server
深刻度（CVSS）7.5 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2026-06-01
米国政府機関の対応期限2026-06-04
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Oracle WebLogic Server の Core という部分に、詳しい中身が公表されていない弱点が見つかりました。悪用されると、重要なデータに不正にアクセスされたり、WebLogic Server が扱えるデータをすべて見られたりするおそれがあります。ネットワーク経由で、ログインしていない攻撃者が T3 や IIOP という通信方式を使って悪用できるとされています。実際に悪用されたことが CISA の KEV で確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が WebLogic Server を探す → 2. ログインなしで T3 や IIOP で接続する → 3. 弱点を突いて不正にアクセスする → 4. サーバーが扱う重要なデータを読まれる1攻撃者が WebLogic Server を探す2ログインなしで T3 や IIOP で接続する3弱点を突いて不正にアクセスする4サーバーが扱う重要なデータを読まれる攻撃の流れ: 1. 攻撃者が WebLogic Server を探す → 2. ログインなしで T3 や IIOP で接続する → 3. 弱点を突いて不正にアクセスする → 4. サーバーが扱う重要なデータを読まれる1攻撃者が WebLogic Server を探す2ログインなしで T3 や IIOP で接続する3弱点を突いて不正にアクセスする4サーバーが扱う重要なデータを読まれる攻撃の流れ: 1. 攻撃者が WebLogic Server を探す → 2. ログインなしで T3 や IIOP で接続する → 3. 弱点を突いて不正にアクセスする → 4. サーバーが扱う重要なデータを読まれる1攻撃者が WebLogic Server を探す2ログインなしで T3 や IIOP で接続する3弱点を突いて不正にアクセスする4サーバーが扱う重要なデータを読まれる

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。影響を受けるバージョンは 12.2.1.4.0 と 14.1.1.0.0 です。

何をすればいい

Oracle が 2024年7月に公開した Critical Patch Update（定期の修正パッチ）を当ててください。T3 や IIOP の通信を、インターネットなど信頼できない場所から受け付けていないかも見直してください。あわせて Oracle の公式の案内を確認してください。

やることチェックリスト

  • 2024年7月の Critical Patch Update を適用する
  • 12.2.1.4.0 と 14.1.1.0.0 の稼働状況を調べる
  • T3 と IIOP を外部から受け付けないよう制限する

用語メモ

T3 用語集で見る
Oracle WebLogic Server が、サーバーどうしやプログラムとのやりとりに使う独自の通信方式です。
IIOP 用語集で見る
別々のコンピューターにあるプログラムどうしが呼び出し合うための通信方式の一つです。
Critical Patch Update 用語集で見る
Oracle が年に数回、決まった時期にまとめて出すセキュリティの修正パッチです。

次に読む

同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-2883）9.8 緊急CVSS v3.1Oracle WebLogic Server で、ログインなしにサーバーを乗っ取られるおそれがある弱点です同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-14644）9.8 緊急CVSS v3.1Oracle WebLogic Server で、外から送られたデータにより乗っ取られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle WebLogic Server Unspecified Vulnerability

概要

Oracle WebLogic contains an unspecified vulnerability that could allow an unauthenticated attacker with network access via T3, IIOP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle WebLogic Server accessible data.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る