Oracleが2026年7月21日（現地時間）、四半期恒例の定例パッチ「クリティカルパッチアップデート（CPU）」を公開しました。修正はのべ1449件（CVEベースで1235件）と過去最大級で、CVSS基本値9.0以上の重大な脆弱性が261件含まれます。さらに、業務システムのPeopleSoftではすでに実際の攻撃で悪用されている脆弱性が修正対象に入りました。Oracle製品（Database、Java、MySQL、WebLogic、E-Business Suite、PeopleSoftなど）を運用している組織は、対象の棚卸しと適用計画を急ぐべきです。
この記事でわかること
- 2026年7月のOracle CPUの規模と、深刻度の内訳
- 特に急ぐべき「悪用が確認された」PeopleSoftの脆弱性
- パッチ件数が多い製品（E-Business Suite／Fusion Middleware）
- 限られた人員でどう優先順位をつけるか、情シスの実務目線
何が起きたのか
Oracleは1月・4月・7月・10月の年4回、まとめてセキュリティ修正を出す「クリティカルパッチアップデート（CPU）」という運用をとっています。今回の2026年7月版は、その中でも規模が突出しています。対象製品は334にのぼり、データベースからミドルウェア、業務アプリケーションまで広範に及びます。
ポイントは「量が多い」だけではありません。ネットワーク経由で認証なしに悪用できる（＝インターネットに面していれば外部から直接狙われうる）脆弱性が、のべ663件含まれます。攻撃者にとって都合のよい条件がそろった脆弱性が多い、というのが今回の性格です。
数字で見る2026年7月CPU
公表された内訳は次のとおりです。深刻度は「重大（Critical）」「高（High）」で7割を超えます。
| 項目 | 件数（のべ） |
|---|---|
| 修正の総数 | 1449件（CVEベース1235件） |
| CVSS 9.0以上 | 261件 |
| うちCVSS 10.0 | 10件 |
| うちCVSS 9.9 | 39件 |
| うちCVSS 9.8 | 145件 |
| 認証なし・ネットワーク経由で悪用可能 | 663件 |
パッチ件数が特に多い製品は Oracle E-Business Suite（410件・全体の約28%）と Oracle Fusion Middleware（355件・約24%、うち認証不要で悪用可能なものが219件）です。この2製品だけで全体の半分を占めます。自社でこれらを使っている場合、影響範囲の確認に相応の時間を見込んでおく必要があります。
最優先：すでに悪用が確認されているPeopleSoft
今回いちばん注意したいのは、業務システム「Oracle PeopleSoft」に関する脆弱性です。認証を必要とせずリモートからコード実行（RCE）が可能なもので、実際の攻撃に使われていることが複数のセキュリティ企業から報告されています。
先行して修正が出ていたゼロデイ脆弱性 CVE-2026-35273（PeopleSoft PeopleTools、RCE）は、攻撃者グループ「ShinyHunters」によるキャンペーンで悪用され、100件を超える組織が侵害された可能性が報じられています。今回のCPUでは、関連する CVE-2026-35278（PeopleToolsのEnvironment Management Hub、認証前RCE、CVSS 9.8）も修正されました。これはHTTPで到達できれば認証情報なしにアプリケーションサーバーと基盤ホストを乗っ取られうる、という深刻なものです。
報告によれば、対象はインターネットに面したPeopleSoft PeopleTools 8.61／8.62のインスタンスが中心とされています。該当バージョンを外部公開している場合は、パッチ適用を最優先とし、当面はEnvironment Management Hubへのアクセスを信頼できるIP範囲に限定するといった緩和策も検討してください。
このほか、WebLogic Server、Identity Manager、WebCenter系の製品でもCVSS 9.9級の重大な脆弱性が修正対象に挙がっています。具体的な影響有無は、後述するOracle公式のリスクマトリクスで自社の製品・バージョンを突き合わせて確認するのが確実です。
現場目線の課題
正直なところ、四半期に一度これだけの量が降ってくると、現場では「どれから手をつけるか」で消耗します。1449件すべてを一度に検証・適用できる組織はまれで、多くの情シスは限られた人員で「自社に関係するものだけ」を切り出す作業から始めることになります。
難しいのは、E-Business SuiteやPeopleSoftのような基幹に近い業務システムほど、止められない・気軽に再起動できない・カスタマイズが多くて検証に時間がかかる、という三重苦を抱えがちな点です。「重大だから今すぐ」と言われても、業務影響の調整に何週間もかかるのが実情でしょう。だからこそ、「外部公開されているか」「認証なしで悪用できるか」「すでに悪用されているか」の3点で優先順位を機械的に絞るのが、現実的な進め方だと考えます。
情シスはどうすべきか
まずは公式の一次情報で、自社の製品・バージョンが対象かを確認することが出発点です。
- Oracle公式のアドバイザリとリスクマトリクスを確認する。製品ごとに影響を受けるバージョンとCVSSが整理されています（本文末尾の出典参照）。
- 優先順位は「公開×認証不要×悪用実績」で絞る。今回ならPeopleSoft（悪用確認済み）を筆頭に、インターネットに面したミドルウェア（WebLogic／Fusion Middleware）を先行させる判断がつけやすいはずです。
- すぐ当てられないものは緩和策で時間を稼ぐ。WAF・アクセス制限・不要なポートの遮断など、パッチ適用までのつなぎを用意します。
- 脆弱性管理・パッチ運用の型を整える。単発対応で疲弊しないよう、IPAの中小企業向けガイドラインなど公的な指針をベースに、棚卸し→優先度付け→適用→記録のサイクルを仕組み化しておくと、次の四半期が楽になります。
参考になる公的資料として、IPAの中小企業の情報セキュリティ対策ガイドラインや、日々の運用の基本を確認できる対策のしおりが入口として使いやすいです。脆弱性そのものの深刻度の読み方は、用語解説のCVSS関連記事もあわせてご覧ください。
まとめ
- 2026年7月のOracle CPUはのべ1449件・CVSS9.0以上261件と過去最大級。認証不要で悪用可能なものが663件と多い。
- PeopleSoftでは実際に悪用された脆弱性（CVE-2026-35273／関連するCVE-2026-35278）が修正対象。外部公開しているインスタンスは最優先で対応を。
- すべてを一度に当てるのは非現実的。「公開×認証不要×悪用実績」で優先度を絞り、当てられない分は緩和策でつなぐのが実務的。
出典
- Oracle Critical Patch Update Advisory – July 2026（Oracle公式）
- Oracle Security Alert Advisory – CVE-2026-35273（Oracle公式）
- Oracle July 2026 Critical Patch Update Addresses 1235 CVEs（Tenable）
- Active Exploitation of Oracle PeopleSoft Zero-Day CVE-2026-35273（Rapid7）
- Oracle、四半期定例パッチを公開 – のべ1449件の修正実施（Security NEXT）
※個別脆弱性のCVE番号・CVSS値・影響バージョンは公表時点の情報に基づきます。適用前に必ずOracle公式のリスクマトリクスで最新情報をご確認ください。
