Oracle HTTP Server と WebLogic の代理プラグインのアクセス制御の不備（CVE-2026-21962）― 見つかった年に載り、猶予は3日

1橋渡しをする部品

ウェブサーバは、利用者からの要求を受け取り、その一部を後ろにある業務用のアプリケーション基盤へ渡します。今回の対象は、その橋渡しを担う代理の部品です。表からは見えず、名前が話題になることもほとんどありません。しかし、前と後ろのどちらの側にも接している以上、そこでアクセス制御が働かなければ、後ろにあるものへ届く道が開くことになります。

カタログの説明は、重要なデータの作成・削除・変更や、到達できるデータ全体への到達が生じうるとしています。

2「更新を当てよ」では終わらない

多くの項目は「ベンダーの指示に従って更新を適用せよ」の一行で終わります。この項目はそうではありません。優先順位を付けるための指令の名前が挙げられ、記録の保全に関する要件が併記され、さらに露出を評価する責任の所在まで書かれています。同じ書き方は、この連載の最後に扱う18年前の項目にも現れます。措置の書き方は、その項目の重さと、いま何が起きているかを映します。

33日という猶予

猶予の中央値は21日で、1,025件がその値をとります。3日以内はごく少数で、その大半は採番された年のうちにカタログへ載ったものです。短い期限は、多くの場合「いま起きていること」に対して設定されているということです。ただし後で見るように、これには例外があります。

4見つかった年に載るということ

2026年9月4日時点で当サイトが保持する1,694件のうち、採番された年と同じ年にカタログへ載った記録は731件（43.2%）で、最も多い層です。公表から悪用の確認までの間隔が短いことを意味します。攻撃の側も同じ情報を見ているので、公表と悪用は近づきます。ここから先の記事では、この間隔が1年、3年、7年、そして18年と開いていく記録を順に見ていきます。