最近の脆弱性 › CVE-2026-21962
Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in の脆弱性（CVE-2026-21962）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-21962 |
|---|---|
| 製品 | Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
| KEVへの追加日 | 2026-08-24 |
| 米国政府機関の対応期限 | 2026-08-27 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-284 |
何が起きた
Oracle HTTP Server と、Oracle WebLogic Server Proxy Plug-in（Apache HTTP Server や IIS から WebLogic へ通信を中継する部品）に、アクセスの制御が不十分な弱点が見つかり、実際に悪用が確認されています。悪用されると、大事なデータを勝手に作られたり、消されたり、書き換えられたり、見られたりするおそれがあります。影響は、この製品の外のほかの製品にも大きく及ぶおそれがあります。ネットワーク経由で、ログインしていない攻撃者が簡単に悪用できる条件です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Oracle HTTP Server と Oracle WebLogic Server Proxy Plug-in の 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 を使っている組織が影響を受けます。なお、IIS 用の Proxy Plug-in で対象なのは 12.2.1.4.0 だけです。
何をすればいい
Oracle が 2026年1月に公開した Critical Patch Update（定期の修正のまとめ）を適用してください。
やることチェックリスト
- Oracle HTTP Serverと中継の部品の版を確かめる
- 2026年1月のCritical Patch Updateを適用する
- 中継の部品を外から使えるか確かめる
用語メモ
- プロキシ
- 利用者とサーバーのあいだに入って、通信を中継する仕組みのことです。
- WebLogic
- Oracle が作っている、企業向けのウェブアプリを動かすためのソフトです。
元データ（英語・CISA KEV より）
Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in Improper Access Control Vulnerability
概要
Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in contain an improper access control vulnerability that can result in unauthorized creation, deletion or modification access to critical data as well as unauthorized access to critical data or complete access to all Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in accessible data.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.