はじめに
Oracle は 2026 年 8 月 18 日に、月次の Critical Security Patch Update（CSPU）を公開しました。全体で 943 件の新規セキュリティパッチを含み、そのうち Oracle E-Business Suite（以下 EBS）向けは 120 件です。
その中で、認証不要かつ CVSS 9.8 と評価されたものが CVE-2026-60782 と CVE-2026-70926 の 2 件あります。EBS を運用しているチームにとっては、まずこの 2 件の扱いを決めることが起点になります。
- CVE-2026-60782 と CVE-2026-70926 の対象バージョンと評価
- Risk Matrix の Protocol 欄からわかること、わからないこと
- 各コンポーネントの接続先と通信経路として棚卸しすべき範囲
- 公開情報だけで影響を除外できない理由
- パッチ適用の判断と、適用前後に確認したいこと
2 件はいずれも EBS 12.2.3〜12.2.15 が対象で、認証もユーザー操作も不要とされています。Risk Matrix の Protocol 欄は CVE-2026-60782 が HTTP、CVE-2026-70926 が SMTP ですが、この表記から通信の方向（EBS が受ける通信なのか、EBS が接続する先とのやり取りなのか）を読み取ることはできません。 したがって「EBS の Web 画面をインターネットへ公開していない」「Notification Mailer はメール送信にしか使っていない」といった理由で影響を除外することは避け、対象バージョンであれば My Oracle Support Note KA923 に従ってパッチ適用条件を確認することをおすすめします。
CPU・CSPU・Security Alert の違いや、Oracle 製品の脆弱性対応で共通する進め方は、関連記事『Oracle 脆弱性対応の進め方』にまとめています。本記事では前提の説明を繰り返さず、今回の 2 件に絞って整理します。
CVE-2026-60782・CVE-2026-70926 の概要
共通する対象バージョンと評価
Oracle の Risk Matrix によると、2 件は次のとおりです。
| 項目 | CVE-2026-60782 | CVE-2026-70926 |
|---|---|---|
| 製品 | Oracle Payments | Oracle Workflow |
| コンポーネント | File Transmission | Workflow Notification Mailer |
| 対象バージョン | EBS 12.2.3〜12.2.15 | EBS 12.2.3〜12.2.15 |
| Protocol | HTTP | SMTP |
| 認証の要否 | 不要 | 不要 |
| ユーザー操作 | 不要 | 不要 |
| CVSS v3.1 | 9.8 | 9.8 |
| CVSS ベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 想定される結果 | Oracle Payments の掌握 | Oracle Workflow の掌握 |
Oracle は 2 件の影響を、いずれも該当コンポーネントの takeover（掌握）と表現しています。
参考: Text Form of Oracle CSPU August 2026 Risk Matrices
“Successful attacks of this vulnerability can result in takeover of Oracle Payments.”
（この脆弱性への攻撃が成功すると、Oracle Payments の掌握につながる可能性があります）
https://www.oracle.com/security-alerts/cspuaug2026verbose.html
CVE-2026-70926 についても、Oracle は同じ Risk Matrix で Oracle Workflow の掌握につながる可能性があると記載しています。
一部のベンダー記事はこの 2 件を「リモートコード実行につながる」と要約していますが、Oracle 自身はコード実行を明示していません。本記事では公式表現に沿って「掌握」として扱います。
Protocol 欄からわかること、わからないこと
Risk Matrix の Protocol 欄は、脆弱性に関係するプロトコルを示すものです。Oracle は、記載されたプロトコルの安全な派生形も対象に含まれると説明しており、HTTP が記載されていれば HTTPS も対象です。HTTPS 化しているから対象外、という読み替えはできません。
一方で、Oracle は次の情報を公開していません。
- 攻撃が EBS への着信通信で成立するのか、EBS が接続する先とのやり取りで成立するのか
- 具体的なリクエストやメッセージの内容、対象となるエンドポイント
- 悪用に必要な設定条件
そのため、プロトコル名だけを手がかりに「EBS の Web 層を公開していないから対象外」と判断することはできません。 逆に「必ずインターネット越しに攻撃される」と決めつけることもできません。実務上は、該当コンポーネントの利用状況、設定されている接続先、その通信経路を棚卸ししたうえで、パッチ適用の優先度を判断する進め方が現実的です。
悪用状況について確認できること
本記事の執筆時点（2026 年 8 月 20 日）で公開情報を確認した範囲では、次のとおりです。
- 2 件が CISA KEV に掲載されている情報は確認できません。
- Oracle が実環境での悪用を確認したとする記載も確認できません。
- セキュリティベンダーや研究者による悪用報告、公開 PoC も確認できません。
公開から日が浅く、状況は変わり得ます。「悪用は行われていない」と断定できる状況ではなく、「公開情報の範囲では悪用確認を確認できない」という位置づけで扱うのが妥当です。Risk Matrix の「認証不要でリモートから悪用可能」という評価と、「実際に悪用されている」という事実は別のものです。
参考になるのが、同じ Oracle Payments / File Transmission の CVE-2026-46817 です。2026 年 5 月の CSPU で修正されたあと、公開 PoC が存在しない状態で 6 月末にハニーポットでの悪用試行が観測され、7 月に CISA KEV へ掲載されました。経緯は関連記事『Oracle EBS CVE-2026-46817 の影響と対応』で整理しています。PoC が公開されていないことは、悪用されないことの根拠にはなりません。 ただし、CVE-2026-46817 の悪用状況を今回の 2 件にそのまま当てはめることもできません。
CVE-2026-60782 で確認する範囲
Oracle Payments と File Transmission
Oracle Payments は、EBS で支払および入金処理を扱うモジュールです。File Transmission は、その中で決済システムや金融機関とのファイル送受信を担う仕組みに関係します。
Oracle Payments では、transmission protocol と transmission configuration を定義し、決済システムや金融機関へトランザクションを届ける構成をとります。用意されているプロトコルには FTP や HTTP、HTTPS などがあります。
参考: Oracle Payments Implementation Guide（Release 12.1）
“the delivery of a transaction to a specific payment system or financial institution”
（特定の決済システムまたは金融機関へのトランザクションの送達）
https://docs.oracle.com/cd/E18727_01/doc.121/e13416/T387353T388239.htm
Release 12.2 についても、同名の実装ガイドが公開されています（https://docs.oracle.com/cd/E51111_01/current/acrobat/122ibyig.pdf ）
HTTP / HTTPS の接続先と通信経路
Oracle が悪用条件を公開していない以上、確認できるのは自環境の構成側です。次の内容を棚卸ししておくと、パッチ適用の優先度やリスク評価の材料になります。
- Oracle Payments で定義されている transmission configuration の一覧と、その接続先
- HTTP / HTTPS を使う設定がどの決済システム・金融機関に向いているか
- その通信が経由するネットワーク機器、プロキシ、専用線、VPN などの経路
- 送信元となるサーバーがどのセグメントに置かれ、どこと通信できるか
- 現在は使用していない、または過去に定義したまま残っている設定がないか
これらは、脆弱性の悪用条件として Oracle が示したものではありません。影響範囲を自分たちで説明できる状態にしておくための構成把握として扱ってください。
CVE-2026-70926 で確認する範囲
Workflow Notification Mailer の役割
Oracle Workflow の Notification Mailer は、EBS のワークフロー通知をメールとして配信し、返信によるアクションを処理するコンポーネントです。Oracle の公式ドキュメントでは、送信に SMTP、受信に IMAP を利用すると説明されています。
参考: Oracle E-Business Suite Maintenance Guide
“Oracle Workflow supports the Simple Mail Transfer Protocol (SMTP) for outbound messages”
（Oracle Workflow は、送信メッセージに SMTP を使用します）
https://docs.oracle.com/cd/E26401_01/doc.122/e22954/T202991T207026.htm
設定は Oracle Applications Manager（OAM）の Workflow Manager から行い、SMTP サーバー、受信処理を利用する場合は IMAP サーバーと受信用アカウントを指定します。なお IMAP は Notification Mailer の仕様上の説明であり、Oracle は CVE-2026-70926 の Protocol として IMAP を挙げていません。
SMTP サーバーと通信経路
CVE-2026-70926 で確認対象になるのは、Notification Mailer が接続する SMTP サーバーと、その通信経路です。
- Notification Mailer が稼働するノードと、接続先 SMTP サーバーのホスト名・所在
- SMTP サーバーが社内にあるのか、外部のメールゲートウェイやクラウドメールサービスなのか
- その間の経路にどのネットワーク機器やリレーが介在するか
- 認証方式や TLS / SSL の利用状況
- 複数の Notification Mailer や環境（本番・検証）で、接続先が分かれているか
こちらも、Oracle が悪用条件として示した項目ではありません。「送信専用だから対象外」と判断せず、構成を把握したうえでパッチ適用を判断する材料として使ってください。
自環境への影響を確認する手順
バージョンと利用コンポーネントの確認
- EBS のリリースバージョンを確認し、12.2.3〜12.2.15 に該当するか判断します。
- Oracle Payments の File Transmission に関わる設定の有無を確認します。
- Workflow Notification Mailer の稼働状況と接続先設定を、OAM の Workflow Manager で確認します。
ここで注意したい点があります。EBS 12.2 はすべての製品がインストールに含まれるため、「その製品を使っていないから対象外」という判断はできません。 ライセンスや業務上の利用有無にかかわらず、対象バージョンに該当する場合は KA923 でパッチの適用条件を確認してください。
なお、Premier Support / Extended Support の対象外バージョンは今回の CSPU でテストされていません。Oracle はサポート対象バージョンへの移行を推奨しています。
接続先と通信経路の棚卸し
- File Transmission の HTTP / HTTPS 接続先と、その通信経路を整理します。
- Notification Mailer が接続する SMTP サーバーと、その通信経路を整理します。
- 各経路について、送信元となるサーバー、経由する機器、適用されているアクセス制御を記録します。
公開情報だけで除外できない理由
「EBS はインターネットへ公開していないので対象外」と判断したくなる場面は多いと思います。ただし、この 2 件については次の理由から、その判断を採らないことをおすすめします。
- Oracle は通信の方向を公開しておらず、着信・発信のどちらで成立するかを外部から確定できません。
- EBS 12.2 は全製品が導入されるため、利用していないつもりのコンポーネントも存在します。
- 社内ネットワーク、VPN 接続端末、業務委託先の接続端末、連携サーバーなど、境界の内側とみなしている範囲は想定より広いことがあります。
結果として、公開情報の範囲では影響を除外しきれません。対象バージョンであれば、KA923 に従ってパッチ適用を判断するのが確実な進め方です。
パッチ適用と適用後の確認
My Oracle Support KA923 で確認する情報
Oracle は EBS 向けのパッチ入手先として、My Oracle Support Note KA923（Oracle E-Business Suite Release 12 Critical Security Patch Update Knowledge Document、August 2026）を案内しています。
参考: Oracle Critical Security Patch Update Advisory – August 2026
https://support.oracle.com/support/?documentId=KA923
具体的なパッチ番号、前提条件、適用手順はログイン後に参照する情報です。本記事では、確認できない範囲を推測で補うことはしません。パッチ番号や手順は、必ず KA923 の本文を自環境の条件で確認してください。
Database・Fusion Middleware の確認
EBS の Risk Matrix に掲載された 120 件だけを見ていると、確認漏れが起こります。Oracle は Advisory の中で、EBS が Oracle Database と Oracle Fusion Middleware のコンポーネントを含むことを明記しています。
参考: Oracle Critical Security Patch Update Advisory – August 2026
“Oracle E-Business Suite products include Oracle Database and Oracle Fusion Middleware components”
（Oracle E-Business Suite の製品には、Oracle Database と Oracle Fusion Middleware のコンポーネントが含まれます）
https://www.oracle.com/security-alerts/cspuaug2026.html
Oracle は、EBS の Risk Matrix には Database と Fusion Middleware のセキュリティ更新を掲載していないこと、そして使用しているバージョンによって影響が変わることを説明しています。そのうえで、EBS を構成する Database と Fusion Middleware のコンポーネントにも August 2026 CSPU を適用することを推奨しています。
EBS の脆弱性対応は、EBS の Risk Matrix だけでは完結しません。 自環境で使用している Database と Fusion Middleware のバージョンを控え、それぞれの Risk Matrix を確認する運用にしておくと、月次の CSPU に追随しやすくなります。今回の CSPU では Oracle Database Server 向けに 6 件、Fusion Middleware 向けにはそれを大きく上回る件数のパッチが公開されています。
適用前のリスク低減として検討できる範囲
Oracle は Advisory の Workarounds セクションで、パッチ適用までの間、攻撃に必要なネットワークプロトコルを遮断することでリスクを下げられる場合があると説明しています。あわせて、そうした変更はアプリケーションの機能を損なう可能性があるため本番以外の環境で検証することを推奨しており、根本的な解決にはならないとも明記しています。
ただし今回の 2 件については、Oracle が通信の方向や悪用条件を公開していないため、遮断すべき通信を特定できません。 そのため、この段階でできるのは次の範囲にとどまります。
- 前述の棚卸しで、不要になった transmission configuration や接続先設定が残っていないか点検する
- 経路上のアクセス制御を見直す場合、支払処理・入金処理・通知メールなどの業務連携へ与える影響を検証する
- 変更を入れる場合は、パッチ適用後に元へ戻すかどうかを含めて記録に残す
これらが CVE-2026-60782 または CVE-2026-70926 の緩和策になると断定はできません。パッチ適用までの構成把握として扱うのが妥当です。
適用後に確認すること
- EBS のバージョンと適用済みパッチの状態が想定どおりか
- 支払処理・入金処理と、File Transmission が関わる外部連携の送受信が正常か
- Notification Mailer が稼働し、通知メールの送信が継続しているか
- 受信処理を利用している場合、メール返信によるワークフローの応答が処理されるか
- Concurrent Manager や関連サービスの起動状態、および各種ログにエラーが出ていないか
なお、Oracle は今回の 2 件について IOC（侵害指標）を公開していません。一般的な不審ログのパターンを、この脆弱性固有の IOC として扱わないようご注意ください。 ログ確認は、適用後の動作正常性の確認と通常の運用監視の一部として実施するのが妥当です。
Oracle 製品では、悪用が確認された脆弱性が CISA KEV へ掲載され、対応期限が設定されるケースが続いています。PeopleSoft の事例は関連記事『PeopleSoft CVE-2026-35273 の影響と対応』でも触れています。次回の Oracle セキュリティリリースは 2026 年 9 月 15 日の CSPU が予定されており、月次サイクルを前提に確認・検証・適用の流れを定常化しておくと判断が早くなります。
まとめ
Oracle の 2026 年 8 月 CSPU には、Oracle E-Business Suite の認証不要・CVSS 9.8 の脆弱性が 2 件含まれています。Risk Matrix の Protocol 欄は HTTP と SMTP ですが、通信の方向や悪用条件は公開されていません。プロトコル名だけで影響を除外せず、接続先と通信経路を棚卸ししたうえで、対象バージョンなら KA923 に従ってパッチ適用を判断する進め方をおすすめします。
- 対象は Oracle E-Business Suite 12.2.3〜12.2.15 の 2 件
- Protocol 表記から通信の方向は読み取れない
- CVE-2026-60782 は File Transmission の HTTP / HTTPS 接続先と経路が確認対象
- CVE-2026-70926 は Notification Mailer が接続する SMTP サーバーと経路が確認対象
- EBS 12.2 は全製品が導入されるため利用有無だけで除外できない
- パッチの適用条件は My Oracle Support Note KA923 で確認
- 公開情報の範囲では悪用確認と公開 PoC は確認できない状況
以上、最後までお読みいただきありがとうございました。
