先に結論。 Oracle HTTP Server と Oracle WebLogic Server Proxy Plug-in を 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0 のいずれかで運用しているなら、2026年1月のOracle Critical Patch Update（CPU）を適用済みかを今日中に確認してください。CISAは2026年8月24日にこの脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ追加し、米国連邦機関に対する是正期限を2026年8月27日に設定しています。パッチは1月から公開済みで、新しく出た穴ではなく「未適用のまま実際に攻撃されている穴」です。
何が起きているのか
CVE-2026-21962は、Oracle Fusion Middleware の Oracle HTTP Server および WebLogic Server Proxy Plug-in に存在するアクセス制御の不備（CWE-284）です。該当コンポーネントは「Weblogic Server Proxy Plug-in for Apache HTTP Server」と「Weblogic Server Proxy Plug-in for IIS」で、Apache HTTP Server や IIS の前段でWebLogicへリクエストを中継するプラグインが対象になります。
Oracleの資料では、認証なしでネットワーク越しにHTTPでアクセスできれば悪用でき（Remote Exploit without Auth: Yes）、成功すると製品がアクセスできる重要データの参照・作成・削除・改ざんが可能とされています。さらにスコープ変更あり（S:C）と評価されており、プラグイン自体を超えて連携先の製品にも影響が波及しうる点が、この脆弱性を10.0まで押し上げている理由です。
このスコアは誰が付けた値か
上記の10.0はOracle（CNA、secalert_us@oracle.com）が付与したCVSS v3.1の値で、NVD上では Secondary として記録されています。NVD自身による独立評価（Primary）は付いていないため、「NISTが10.0と判定した」とは書けません。ベクターは `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N` です。可用性への影響はNone、つまりサービス停止型ではなくデータの窃取と改ざんが主な被害像である点に注意してください。
なお、この脆弱性にはCVSS v2.0およびv4.0の評価は付いていません。他所で異なる数字を見た場合は、まず版と評価者を確認してください。
影響を受けるバージョン
- ▸Oracle HTTP Server: 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0
- ▸WebLogic Server Proxy Plug-in（Apache HTTP Server 向け）: 12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0
- ▸WebLogic Server Proxy Plug-in（IIS 向け）: 12.2.1.4.0 のみ（Oracleの注記1）
- ▸修正: 2026年1月のOracle Critical Patch Update（CPU January 2026）に含まれるパッチ
今すぐ行う確認と対処
- ✓自組織の Oracle HTTP Server / WebLogic Server Proxy Plug-in のバージョンを洗い出し、12.2.1.4.0・14.1.1.0.0・14.1.2.0.0 に該当するかを確認する
- ✓2026年1月のCPUを適用済みか確認する。未適用なら My Oracle Support の Patch Availability Document から該当パッチを取得して適用する
- ✓IIS向けプラグインは 12.2.1.4.0 のみが対象。Apache版とIIS版が混在する環境では、それぞれ個別に判定する
- ✓アプリケーションサーバ本体とは別に、Webサーバ前段のプラグインの適用状況を個別に確認する（管理主体や変更手順が分かれている場合は特に）
- ✓すでに悪用が確認されているため、パッチ適用後もHTTPアクセスログを遡り、当該プロキシ経由の不審なリクエストがなかったかを調査する
すぐにパッチを当てられない場合
Oracleは今回のCPUの「Workarounds」で、回避策は根本解決にならないと明示しています。原文の趣旨は次のとおりです。攻撃成立に必要なネットワークプロトコルを遮断すれば成功のリスクを下げられる場合があるが、アプリケーションの機能を壊す可能性があるため本番以外で必ず検証すること、そしてこれは長期的な解決策とみなすべきではないこと。
したがって、取るべき対処はパッチ適用の一択です。本記事では推測した設定例やWAFルールは示しません。Oracleが提示していない回避策を独自に組むと、防げないうえに機能を壊す二重の損失になります。停止調整に時間がかかる場合は、当該プロキシがインターネットから到達可能かどうかを確認し、到達可能なものから優先して計画を前倒ししてください。
なぜ今さら1月の脆弱性が緊急なのか
NVDへの登録は2026年1月20日で、パッチも同月に出ています。それでもCISAが8月24日にKEVへ追加したのは、実際の攻撃で使われている証拠が確認されたからです。CISAの評価（SSVC）では、悪用状況は「active（実際に悪用されている）」、自動化可能性（automatable）は「yes」、技術的影響は「total」と記録されています。
このautomatableという項目は「攻撃者がこの脆弱性の悪用イベントを確実に自動化できるか」を問うもので、yesは偵察・武器化・配送・悪用というキルチェーンの1〜4段階を確実に自動化できるという評価です。自分の組織が名指しで狙われているかどうかとは別に、悪用の試行が大量かつ短時間に発生しうる、と読むのが正確です。
「1月のCPUは適用したはず」で終わらせず、対象ホストの実バージョンで確認してください。今回Oracleが対象コンポーネントとして挙げているのはWebLogic Server本体ではなく前段のProxy Plug-inです。本体の適用状況を確認しただけでは、この脆弱性に該当するかどうかの答えにはなりません。