米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は2026年8月24日、Oracle HTTP Server および Oracle WebLogic Server Proxy Plug-in の脆弱性「CVE-2026-21962」を、悪用が確認された脆弱性のカタログ（KEV）に追加した。深刻度は、共通脆弱性評価システム（CVSS）のスコアで最高値の10.0。修正パッチは7か月前の2026年1月に公開済みだが、CISAは連邦政府機関に対し、追加からわずか3日後の8月27日を対応期限として定めている。
認証なしで「重要データ」に手が届く
CVE-2026-21962は、CWE-284（不適切なアクセス制御）に分類される脆弱性だ。KEVカタログの記載によれば、この脆弱性は重要データへの不正なアクセスや、重要データの不正な作成・削除・変更を許し、場合によってはOracle HTTP Server／WebLogic Server Proxy Plug-inからアクセスできる全データへの完全なアクセスにつながりうる。
問題を抱えているのは、Apache HTTP ServerやMicrosoft IISといったWebサーバーと、その背後にあるWebLogicアプリケーションサーバーとを橋渡しする「プロキシプラグイン」と呼ばれる連携モジュールである。Oracleが2026年1月に公開したCritical Patch Update（CPU）の対象製品一覧では、影響を受けるバージョンとして12.2.1.4.0、14.1.1.0.0、14.1.2.0.0が挙げられている。
この部品の位置づけが厄介さを増している。プロキシプラグインは業務アプリケーションそのものではなく、その手前でリクエストを受け渡すだけの、いわば「継ぎ手」だ。アプリケーションの棚卸し表には載っていても、パッチ管理の対象リストからは抜け落ちやすい。しかも構造上、インターネットに面して置かれることが多い。
パッチは1月に出ていた
Oracleはこの脆弱性を、337件の修正を含む2026年1月のCritical Patch Updateで塞いでいる。つまり利用者の側には、半年以上前から手当ての手段が用意されていたことになる。
にもかかわらず、悪用は早い段階から始まっていたようだ。報道によると、セキュリティ企業CloudSEKは、実証コード（PoC）が公開された直後の1月22日以降、自社のハニーポット（攻撃者をおびき寄せるためのおとりシステム）がOracle WebLogicサーバーを狙った悪用の試みを観測したと3月に警告している。また報道によると、SOCRadarは7月、中国に関連するとされる攻撃者が政府インフラを標的とした攻撃で本脆弱性を悪用したと報告している。CISAが今回の追加に踏み切った直接のきっかけとなった攻撃が何であったかは、公表されていない。
3日という期限が示すもの
KEVカタログへの追加は、それ自体が「実際に攻撃で使われている」というCISAの判断を意味する。今回のケースで目を引くのは、追加日（8月24日）から対応期限（8月27日）までがわずか3日しかない点だ。
背景には、CISAが定めた指令「BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）」がある。CISAの発表によれば、BOD 26-04は連邦政府の行政機関に対し、KEVカタログに載った脆弱性のうち、外部に公開された資産にあって悪用されれば資産の完全な掌握を許すものを最優先で修正するよう求める一方、リスクの低いものへの対応は後回しにすることを認めている。さらに、パッチ適用前に攻撃者が侵入していなかったかを確認すべき場面についても、基本的な基準を定めている。CVSS 10.0・インターネット公開・悪用済みという条件が揃った今回の脆弱性は、この枠組みの中で最上位に置かれた格好だ。
CISAはあわせて、BOD 26-04の適用対象は連邦政府機関に限られるとしつつも、すべての組織がリスクベースの脆弱性管理を採用し、KEVカタログ掲載の脆弱性の修正を優先するよう促している。
自社の「継ぎ手」を把握できているか
日本の企業にとっても他人事ではない。WebLogicは基幹系や社内業務システムの実行基盤として国内でも広く使われてきた実績があり、その前段にApache HTTP ServerやIISを置き、プロキシプラグインでつなぐ構成は珍しくないからだ。
今回の件が突きつけているのは、「パッチが出ているかどうか」ではなく「パッチを当てるべき対象を把握できているか」という問いである。半年以上前に修正が公開されていた脆弱性が、いまなお悪用の対象としてKEVに追加されたという事実は、多くの組織でこの部品が管理の網から漏れていた可能性を示唆する。
確認すべきことは、そう多くない。自社のWeb公開システムで、WebサーバーとWebLogicの間にプロキシプラグイン（Apache版・IIS版のいずれか）を使っているか。使っているなら、そのバージョンは何で、2026年1月のCPUを適用済みか。適用がまだなら、いつ適用できるのか。そして、1月以降にすでに侵入を受けていなかったかをログから確認できるか——最後の一点は、CISAが指令の中で求めている「侵害の有無の確認」に相当する。悪用が半年以上続いている以上、パッチを当てて終わり、とは言い切れない。
同じ手口に、自社は備えられていますか？