Oracle Javaに55件の脆弱性 IPAが「早急に適用を」と促す対象は：セキュリティニュースアラート

IPAはOracle Javaの脆弱性について注意喚起した。修正された55件のうち49件は、認証を必要とせずネットワーク経由で悪用される可能性がある。被害は攻撃者によるPCの制御に及ぶ恐れもあるという。

[ITmedia]

　独立行政法人情報処理推進機構（IPA）は2026年10月21日、「Oracle Java」の脆弱（ぜいじゃく）性に関する注意喚起を公開した。悪用された場合、アプリケーションの異常終了や、攻撃者によるPCの制御といった被害が発生する恐れがある。IPAは攻撃が発生した場合の影響が大きいとして、セキュリティ更新プログラムの早急な適用を呼び掛けている。

　注意喚起の対象は、Oracleが2026年10月20日（現地時間）に公開した四半期定例のセキュリティ更新「Critical Patch Update」（CPU）に含まれる「Java SE」関連の修正だ。今回のCPUはOracle製品全体で1295件のセキュリティパッチを含み、Java SE関連はこのうち55件を占める。55件のうち49件は、認証を必要とせずネットワーク経由で悪用される可能性がある。

　ただし、55件の全てが同じ危険度というわけではない。対応の優先度を左右するのは、自社で稼働するJavaのバージョンと、個々の脆弱性の深刻度だ。

対象の8バージョンと、最も深刻な脆弱性は

　対象は、サポートされている以下の8バージョンだ。

• Oracle Java SE 27
• Oracle Java SE 26.0.2
• Oracle Java SE 25.0.4.1
• Oracle Java SE 21.0.12.1
• Oracle Java SE 17.0.20.1
• Oracle Java SE 11.0.32.1
• Oracle Java SE 8 Update 503
• Oracle Java SE 8 Update 503-perf

　Oracleは、サポート対象外のバージョンについては今回の脆弱性の有無を検証していないものの、影響を受けている可能性が高いとして、サポート対象バージョンへの更新を推奨している。

　55件の脆弱性の深刻度を共通脆弱性評価システム（CVSS）の基本値で見ると、最大は7.5だ。7.5が付いた脆弱性は2件ある。一つはコンポーネント「JavaFX」の脆弱性で、認証を必要とせずネットワーク経由で悪用される可能性がある。もう一つは「Java plugin」の脆弱性で、悪用には攻撃者がローカル環境にアクセスできることが条件となる。

　OracleはJava SEのCVSSスコアについて、JavaアプレットやJava Web Startアプリケーションを管理者権限で実行する環境を前提にした値だと説明している。Oracleによると、Windowsでは管理者権限での実行が典型的だという。管理者権限なしで実行する環境では機密性や完全性などへの影響の評価が下がり、基本値は公表された値より低くなる。

パッチ未適用のシステムを狙う攻撃も

　Oracleは今回のアドバイザリでも、パッチを公開済みの脆弱性を悪用しようとする試みの報告を継続的に受けていると注意を促している。標的となった顧客が公開済みのパッチを適用していなかったために、攻撃が成功した事例も報告されているという。同社はサポート対象バージョンの利用と、遅滞ないセキュリティパッチの適用を強く推奨している。

　対策について、IPAはOracleのWebサイトから最新バージョンのJavaをインストールするよう案内している。利用中のソフトウェアが最新かどうかは、IPAが提供する確認ツール「MyJVNバージョンチェッカ for .NET」で調べられる。

　商用利用には留意点もある。2019年4月16日以降のJavaのリリースについて、Oracleはライセンスの変更を案内している。IPAは特に商用利用中の組織に対し、ライセンスを確認した上で、ベンダーの有償サポートを受けるなどの対応を取るよう求めている。

　Oracleのセキュリティパッチは毎月第3火曜日（現地時間）に公開され、次回の四半期定例CPUは2027年1月19日の予定だ。