[ITmedia エンタープライズ] Oracle Javaに55件の脆弱性 IPAが「早急に適用を」と促す対象は

IPAはOracle Javaの脆弱性について注意喚起した。修正された55件のうち49件は、認証を必要とせずネットワーク経由で悪用される可能性がある。被害は攻撃者によるPCの制御に及ぶ恐れもあるという。

» 2026年10月22日 13時30分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　独立行政法人情報処理推進機構（IPA）は2026年10月21日、「Oracle Java」の脆弱（ぜいじゃく）性に関する注意喚起を公開した。悪用された場合、アプリケーションの異常終了や、攻撃者によるPCの制御といった被害が発生する恐れがある。IPAは攻撃が発生した場合の影響が大きいとして、セキュリティ更新プログラムの早急な適用を呼び掛けている。

　注意喚起の対象は、Oracleが2026年10月20日（現地時間）に公開した四半期定例のセキュリティ更新「Critical Patch Update」（CPU）に含まれる「Java SE」関連の修正だ。今回のCPUはOracle製品全体で1295件のセキュリティパッチを含み、Java SE関連はこのうち55件を占める。55件のうち49件は、認証を必要とせずネットワーク経由で悪用される可能性がある。

　ただし、55件の全てが同じ危険度というわけではない。対応の優先度を左右するのは、自社で稼働するJavaのバージョンと、個々の脆弱性の深刻度だ。

対象の8バージョンと、最も深刻な脆弱性は

　対象は、サポートされている以下の8バージョンだ。

• Oracle Java SE 27
• Oracle Java SE 26.0.2
• Oracle Java SE 25.0.4.1
• Oracle Java SE 21.0.12.1
• Oracle Java SE 17.0.20.1
• Oracle Java SE 11.0.32.1
• Oracle Java SE 8 Update 503
• Oracle Java SE 8 Update 503-perf

　Oracleは、サポート対象外のバージョンについては今回の脆弱性の有無を検証していないものの、影響を受けている可能性が高いとして、サポート対象バージョンへの更新を推奨している。

　55件の脆弱性の深刻度を共通脆弱性評価システム（CVSS）の基本値で見ると、最大は7.5だ。7.5が付いた脆弱性は2件ある。一つはコンポーネント「JavaFX」の脆弱性で、認証を必要とせずネットワーク経由で悪用される可能性がある。もう一つは「Java plugin」の脆弱性で、悪用には攻撃者がローカル環境にアクセスできることが条件となる。

　OracleはJava SEのCVSSスコアについて、JavaアプレットやJava Web Startアプリケーションを管理者権限で実行する環境を前提にした値だと説明している。Oracleによると、Windowsでは管理者権限での実行が典型的だという。管理者権限なしで実行する環境では機密性や完全性などへの影響の評価が下がり、基本値は公表された値より低くなる。

パッチ未適用のシステムを狙う攻撃も

　Oracleは今回のアドバイザリでも、パッチを公開済みの脆弱性を悪用しようとする試みの報告を継続的に受けていると注意を促している。標的となった顧客が公開済みのパッチを適用していなかったために、攻撃が成功した事例も報告されているという。同社はサポート対象バージョンの利用と、遅滞ないセキュリティパッチの適用を強く推奨している。

　対策について、IPAはOracleのWebサイトから最新バージョンのJavaをインストールするよう案内している。利用中のソフトウェアが最新かどうかは、IPAが提供する確認ツール「MyJVNバージョンチェッカ for .NET」で調べられる。

　商用利用には留意点もある。2019年4月16日以降のJavaのリリースについて、Oracleはライセンスの変更を案内している。IPAは特に商用利用中の組織に対し、ライセンスを確認した上で、ベンダーの有償サポートを受けるなどの対応を取るよう求めている。

　Oracleのセキュリティパッチは毎月第3火曜日（現地時間）に公開され、次回の四半期定例CPUは2027年1月19日の予定だ。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。

SpecialPR

注目のテーマ

人気記事ランキング

1. 相次ぐ個人情報漏えいの一因「A2B攻撃」　正体は20年前から言われ続けた“あの教訓”だった
2. 「流出なし」で終わらないIDCFクラウド障害　「何をいつまで預けたか」で分かれた明暗
3. 不正アクセス多発、Gartnerが日本企業に「7つのアクション」を緊急提言
4. セキュリティインシデント9カ月で607件、既に2025年超え　「公表が増えただけ」ではない理由
5. ソースネクスト、ヤマトなど数十社2026年10月総まとめ第2弾　やまぬ情報漏えい2週間を振り返る
6. 漏えい公表ラッシュは「検知の向上」か「攻撃の増加」か　専門家に聞いた
7. Windows 11の自動復旧機能、企業PCは既定でオフ　有効化前にIT部門が決めるべきこと
8. 「Windows+R」は絶対に押さないで！　新入社員に贈るセキュリティの新常識5選
9. AIで揺れた転職市場、なぜ情シスは「決まらない」のか　2026年の転職を阻む3つの構造
10. Active Directoryが“人質”に　ランサムウェアを使わない恐喝攻撃の手口とは