OracleがJuly 2026 CPUで1,449件のパッチを公開——CVSS 10.0が10件、うち1件は悪用確認済み

「Oracleって日本企業でも使ってるの？」
「1,449件って多すぎて全部読めないでしゅ……。」

チップス

ボス、Oracleのパッチが過去最多ってニュースを見たでしゅ。1,449件って数が多すぎてよくわからないでしゅ。

ボス

数字だけ見て「多いな」で流してはいけない。今回のOracleのJuly 2026 CPUにはCVSS 10.0（満点）の脆弱性が10件含まれており、そのうち1件はすでに実際の攻撃で悪用されている。

Oracle製品は日本でもERP（基幹業務システム）・データベースなどで多くの企業が利用しています。
この記事では、1,449件という数字の意味と、特に優先して対応すべき脆弱性を整理します。

Oracleは四半期ごとにCritical Patch Update（CPU）を公開する慣習ですが、今回の1,449件は過去最大規模です。

事件の概要：1,449件パッチ・過去最大の規模とその背景

Oracleは2026年7月21日、今年第3回目となる四半期セキュリティ更新（CPU）を公開しました。
334製品の1,434個のCVEに対応する1,449件のパッチという数字は、同社のCPUとして過去最多を記録しています。

製品別のパッチ件数は次の通りです。

チップス

E-Business Suiteって何でしゅか？

ボス

日本でも多くの製造業・流通業が使っているERP（統合基幹業務）パッケージだ。会計・購買・人事・SCMを一元管理する。今回410件ものパッチが出たということは、それだけ攻撃対象になりやすい面が多いということでもある。

今回のCPUの特徴として注目すべきは、約600件が「認証なしでリモートから悪用可能」な脆弱性向けパッチである点です。
ネットワークに接続されたOracleシステムを持つ組織は、パッチ未適用状態を長引かせるほどリスクが高まります。

脆弱性の注目点：CVSS 10.0が10件と「AIが脆弱性を発見する時代」の到来

Fusion Middlewareに含まれるCVSS 10.0の脆弱性10件は、攻撃の難易度が低く、認証不要でネットワーク越しに悪用でき、機密性・完全性・可用性すべてを完全に侵害できます。

チップス

CVSS 10.0って満点でしゅよね？ どんな製品に入ってるんでしゅか？

ボス

Access Manager、WebLogic Server Proxy Plug-in、Oracle Coherence、HTTP Server、Data Integrator、Platform Security for Java、WebCenter Content、Service Delivery Platformだ。WebLogicはJavaの業務システム基盤として国内でも多数稼働している。

今回特筆すべきは、Oracleが公式に「AI活用で脆弱性発見が加速した」と説明した点です。
外部研究者からのクレジットはわずか64件で、残りの1,300件以上はOracleが社内で発見しています。

Oracleが活用しているAIツールにはAnthropicのClaudeとOpenAIのモデルが含まれると報告されており、「AIがコードを分析して脆弱性を議論・検証する」自動化パイプラインが稼働しています。
従来、脆弱性の大多数は外部研究者が発見していましたが、AIの参入によってこの構図が逆転しつつあります。

まとめ：Oracle製品ユーザーは「WebLogic・Access Manager」から優先対応を

1,449件すべてに即対応するのは現実的ではありません。自社の環境に合わせて優先順位をつけることが重要です。
特にインターネットに公開しているFusion Middleware系（WebLogic・Access Manager）と、E-Business Suiteのパッチを先に適用すべきです。

チップス

パッチを全部当てるのって大変でしゅ……どこから始めればいいでしゅか？

ボス

「外部から到達可能か」「CVSS 9.0以上か」「実際に悪用が確認されているか」の3軸で絞り込むことだ。この条件を満たすものから始めれば、限られたリソースで最大のリスクを下げられる。

対応の優先順位をまとめます。

AIが脆弱性を発見する時代になると、四半期ごとのパッチ数は増加する一方になります。この傾向はOracleに限らず、Microsoftも今月のPatch Tuesdayで570件という記録を出しています。定期的なパッチ管理サイクルの自動化が急務です。