高 High 悪用確認済み（KEV） CVE-2024-21182

Oracle WebLogic Serverの脆弱性（CVE-2024-21182）— 認証不要でデータ侵害のおそれ

Oracle WebLogic Server ・KEV追加 2026年6月1日・連邦是正期限 2026-06-04

Oracle WebLogic Serverに、T3／IIOPプロトコル経由でネットワークアクセスできる認証不要の攻撃者が、サーバを侵害しうる脆弱性。重要データへの不正アクセスや全データへのアクセスにつながる。CISAは悪用確認済み(KEV)として掲載（CVSS 7.5 High）。

脆弱性の基本情報

CVE-2024-21182は、Oracle WebLogic Server（Java EE／Jakarta EEのアプリケーションサーバ）に存在する脆弱性で、認証不要の攻撃者がT3またはIIOPというプロトコルを通じてネットワーク経由でサーバを侵害できるものだ。

成功するとWebLogic Serverがアクセスできる重要データへの不正アクセスや、全データへのアクセスにつながる。

WebLogicの管理プロトコルであるT3／IIOPは、過去にも繰り返し攻撃の入口として悪用されてきた経緯がある。これらを不用意にインターネットへ公開していると、認証なしで到達されてしまうため危険性が高い。

CISAはKEVカタログに2026年6月1日付で追加し、実際の悪用を確認している（Oracleの修正自体は2024年7月のCritical Patch Updateで提供済み）。

WebLogicの管理プロトコルであるT3／IIOPは、過去にも繰り返し攻撃の入口として悪用されてきました。到達できるかどうかが、この脆弱性の危険度を決めます。

Oracleの修正自体は2024年7月のCritical Patch Updateで提供済みです。パッチの適用に加えて、T3／IIOPをインターネットに公開しない、必要な接続元のみに制限するといったネットワーク面の緩和も有効で、こちらは修正を当てるまでの時間を稼ぐ手立てにもなります。

WebLogicは基幹システムでの稼働例が多く、外部公開の有無で危険度が大きく変わる。パッチ適用に加え、T3/IIOPの公開状況の棚卸しとアクセス制限が実務上の要点。

WebLogicとは何ですか？

OracleのJavaアプリケーションサーバで、企業の基幹システムや業務アプリの実行基盤として広く使われています。

T3／IIOPとは？

WebLogicが使う通信プロトコルです。インターネットに公開されていると、認証なしで到達される攻撃の入口になりがちです。

何をすべきですか？

Oracleの2024年7月Critical Patch Updateの該当パッチを適用し、T3／IIOPの公開範囲を最小化してください。

本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。

CISA KEV Catalog（悪用確認済み一覧）
NVD（CVE詳細・CVSS）
ベンダー／参考アドバイザリ
This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。

#Oracle#WebLogic#Java#アプリケーションサーバ#データ侵害