Oracle HTTP Serverの脆弱性CVE-2026-21962の悪用
米CISAは、Oracle HTTP ServerとOracle Weblogic Server Proxy Plug-inの脆弱性CVE-2026-21962を、既知の悪用された脆弱性（KEV）のカタログに加えた［3、4］。シンガポールのサイバーセキュリティ庁（CSA）は警報で、攻撃者がこの脆弱性を悪用して重要なデータにアクセスし、変更や削除をしているとして、直ちにパッチを適用するよう求めた［8］。
脆弱性の内容
Oracleのリスクマトリクスの説明文によると、この脆弱性は容易に悪用でき、HTTPでネットワークにアクセスできる認証のない攻撃者がこれらの製品を侵害できる〔注1〕［2］。攻撃はほかの製品にも大きく影響しうる（スコープの変更）［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-21962が予約された | ［3］ |
| 2026年 | Oracle | Critical Patch Update January 2026を公表し、この脆弱性のCVEレコードを公開した | ［1、3］ |
| 2026年 | CISA-ADP | SSVCでExploitationをactiveと評価した | ［3］ |
| 2026年 | カナダのサイバーセキュリティセンター | Oracleのアドバイザリを伝える告知AV26-042を出した | ［9］ |
| 2026年 | - | CVE-2026-21962の概念実証（PoC）が公開された | ［9］ |
| 2026年 | - | 公開のエクスプロイトがGitHubに出て、CloudSEKのハニーポットに最初の悪用の試行があった | ［5］ |
| 2026年 | - | ほかの攻撃者がインターネットの走査を始めた | ［5］ |
| 2026年 | SANS Internet Storm Center | 悪用の試みの可能性があるリクエストを報告した | ［10］ |
| 2026年 | GreyNoise | 1つのIPアドレスによるこの脆弱性の悪用を報告した | ［11］ |
| 2026年 | CloudSEK | ハニーポットの観測の報告を公開した | ［5］ |
| 2026年 | SOCRadar | 攻撃の基盤の報告で、この脆弱性の攻撃の道具と侵害1件を示した | ［6］ |
| 2026年 | CISA | KEVのカタログに加えた | ［3、4］ |
| 2026年 | CSA | 悪用の警報AL-2026-111を出した | ［8］ |
| 2026年 | CSA | 警報を更新し、侵害の痕跡（IOC）の所在を加えた | ［8］ |
対象の製品と版
Oracleのリスクマトリクスでは、コンポーネントはApache HTTP Server用とIIS用のWeblogic Server Proxy Plug-inである［1］。影響を受けるサポート対象の版は12.2.1.4.0、14.1.1.0.0、14.1.2.0.0で、IIS用で影響を受けるのは12.2.1.4.0だけとした［1］。
Security NEXTは、このプラグインがOracle HTTP Serverに同梱されていると報じた［13］。
SecurityWeekは、WebLogic Server Proxy pluginを、HTTP ServerとWebLogicを橋渡しするものと書いた［7］。
悪用の状況
CloudSEKの報告によると、脆弱なOracle WebLogic Server（v14.1.1.0.0）を模した高対話型のハニーポットで、2026年1月22日〜2月3日に攻撃のデータを集めた［5］。CVE-2026-21962を狙った固有のIPアドレスは3つで、CloudSEKは、分析が短い12日間のデータに基づくと断っている［5］。
CloudSEKは、公開のエクスプロイトコードが出た直後から、この脆弱性への攻撃の試行を観測したと報告した［5］。攻撃者は主に、DigitalOceanやHOSTGLOBAL.PLUSなどの一般的なホスティング事業者から借りたVPSを使った［5］。活動はlibredtail-httpやNmap Scripting Engineによる大量の自動走査が中心だった［5］。
SANS Internet Storm Centerは、CVE-2026-21962の悪用を探すなかで、解説記事がこの脆弱性に関係するとしたリクエストを観測したと報告した［10］。wl-proxy-client-ipヘッダーを含むリクエストは1月21日から大きく増えたが、このヘッダーはそれ以前にも使われていた［10］。ヘッダーのbase64の文字列は「cmd:whoami」に復号され、SANS Internet Storm Centerはこの攻撃が機能しそうにないと書いた［10］。
GreyNoiseの報告では、IPアドレス193.24.123.42が無関係の製品の4つのCVEを同時に悪用していた［11］。そのうちCVE-2026-21962のセッションは2,902だった［11］。このIPアドレスは、Censysが「BULLETPROOF」と分類した自律システム上にあり、広く出回るIOCの一覧には載っていなかった［11］。
SOCRadarの脅威調査部門（STRU）は、攻撃者が運用する公開状態のステージングサーバーを特定した［6］。サーバーにあった偵察の一覧、兵器化された9つのCVE、中国語版のCobalt Strike互換のC2などを分析した［6］。道具の一覧にはCVE-2026-21962.pyがあった［6］。
SOCRadarのキャンペーン別の表では、WebLogic-class（CVE-2026-21962）の一覧の項目は119、固有のホストは91だった［6］。侵害の確認は1件で、DNSやHTTPのアウトオブバンドのコールバックによるブラインドRCEで確かめた［6］。
SOCRadarが示した攻撃者の足跡は、104の国別トップレベルドメインにわたる9,990超のホスト名に及んだ［6］。そのうち、攻撃者は9つのCVEで107のエンドポイントへの侵入に成功した［6］。偵察の一覧の85%超は、各国の政府の第2レベルドメイン（.gov.*・.go.id）を狙っていた［6］。SOCRadarは、回収したマルウェアがSNOWLIGHTファミリーと一致したとし、このファミリーを中国系（China-nexus）のアクセスブローカーUNC5174・UNC6586と結び付けられたものと説明した［6］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| リクエストのパス | /_proxy//weblogic/..;/bea_wls_internal/ProxyServlet | CloudSEK | ［5］ |
| リクエストのパス | /wl_proxy//weblogic/..;/bea_wls_internal/ProxyServlet | CloudSEK | ［5］ |
| リクエスト | GET /weblogic//weblogic/..;/bea_wls_internal/ProxyServlet | SANS Internet Storm Center | ［10］ |
| 送信元のIPアドレス | 67.213.118.179（最初の試行。Vultr Holdings LLC） | CloudSEK | ［5］ |
| 送信元のIPアドレス | 193.24.123.42 | SANS Internet Storm Center | ［10］ |
SecurityWeekは、どの攻撃がCISAの警告のきっかけになったかは不明で、この脆弱性は1月から悪用されていると報じた［7］。FalconFeedsが6月にサイバー犯罪のサプライチェーンを説明する投稿で悪用に触れたが、詳細は示さなかったとも報じた［7］。
CSAは警報で、この脆弱性は活発に悪用されていると報告されており、概念実証のエクスプロイトが公開されていると書いた［8］。警報の更新では、この脆弱性を狙ったキャンペーンのIOCの所在としてSOCRadarの報告を示した［8］。
修正と回避策
OracleのCritical Patch Update January 2026は、337件の新しいセキュリティパッチを含む［1］。Oracle Fusion Middleware向けの新しいセキュリティパッチは51件で、うち47件は認証なしでリモートから悪用されうる［1］。
NVDが収録したKEVの項目は、対処の期限を8月27日とし、要求措置を挙げた［4］。
- ベンダーの指示に従って緩和策を適用し、CISAのBOD 26-04と「Forensics Triage Requirements」に沿う［4］
- 緩和策が無ければ、クラウドサービスはBOD 26-04の指針に従うか、製品の使用をやめる［4］
- 資産ごとのインターネットへの露出の評価は利害関係者の責任とする［4］
The Hacker Newsは、拘束力のある運用指令（BOD）26-04に基づき、連邦文民行政機関（FCEB）がこの期限までに修正を適用するよう勧告されたと報じた［12］。カナダのサイバーセキュリティセンターは告知AV26-042の8月24日の更新で、CISAのKEVへの追加を伝え、利用者と管理者に更新の適用を促した［9］。
CloudSEKは、最近の悪用を理由にCVE-2026-21962のパッチを直ちに適用するよう勧めた［5］。管理コンソールをインターネットに直接さらさないことと、WAFでProxyServletを狙う悪用のパターンを遮断することも勧めた［5］。
未公表の事項
- 悪用の被害を受けた組織の名前と数
- CISAのKEVへの追加の根拠になった攻撃とその主体
- Oracleによる脆弱性の技術的な原因の説明
- 脆弱性の報告者
- 開発元Oracleによる悪用の確認の有無
注
出典
当事者
- ［1］Oracle Corporation『Oracle Critical Patch Update Advisory - January 2026』（2026年1月20日公開、2026年2月2日更新）
- ［2］Oracle Corporation『Text Form of Oracle Critical Patch Update - January 2026 Risk Matrices』（2026年1月20日公開）
公的機関
- ［3］MITRE Corporation『CVE-2026-21962』（2026年1月20日公開、2026年8月25日更新）
- ［4］National Institute of Standards and Technology『CVE-2026-21962』（2026年1月20日公開、2026年8月25日更新）
- ［8］Cyber Security Agency of Singapore『Active Exploitation of Vulnerability in Oracle HTTP Server and Oracle WebLogic Server Proxy Plug-In』（2026年8月26日公開、2026年9月2日更新）
- ［9］Communications Security Establishment Canada『Oracle security advisory – January 2026 quarterly rollup (AV26-042) – Update 2』（2026年1月21日公開、2026年8月24日更新）
調査・観測
- ［5］CloudSEK Info Security Pvt. Ltd.『Honey for Hackers: A Study of Attacks Targeting the Recent CVE-2026-21962 and Other Critical WebLogic Vulnerabilities on a High Interactive Oracle Honeypot』（2026年3月25日公開、2026年6月1日更新）
- ［6］SOCRadar Cyber Intelligence Inc.『Tracing SNOWLIGHT: A China-Nexus Campaign Against Government Infrastructure』（2026年7月31日公開）
- ［10］SANS Institute『Odd WebLogic Request. Possible CVE-2026-21962 Exploit Attempt or AI Slop?』（2026年1月28日公開）
- ［11］GreyNoise Intelligence, Inc.『Active Ivanti Exploitation Traced to Single Bulletproof IP—Published IOC Lists Point Elsewhere』（2026年2月10日公開）
報道機関
- ［7］Wired Business Media『CISA Warns of Exploited Oracle WebLogic Vulnerability』（2026年8月25日公開）
- ［12］The Hacker News『Actively Exploited Oracle WebLogic Flaw Lets Unauthenticated Attackers Access Critical Data』（2026年8月25日公開、2026年8月26日更新）
- ［13］株式会社ニュースガイア『ウェブサーバ向け「WebLogic」連携モジュールの脆弱性悪用に注意』（2026年8月25日公開）
更新記録
- 2026年8月26日：公開した。
- 2026年9月2日：シンガポールのサイバーセキュリティ庁の9月2日の警報の更新（出典8）で加わったIOCの所在を、「時系列」と「悪用の状況」に加えた。