IPAが「早急に」と呼びかけ、対象はJava SE 8から27まで

Javaは、業務システムやウェブサービスの裏側、パソコン向けの一部のソフトなどで使われるプログラミング言語だ。Javaで書かれたプログラムを動かすには、専用の実行環境が要る。Oracleが配布する標準版が「Oracle Java SE」で、動かすための部分をJRE、開発用の道具一式をJDKと呼ぶ。

Oracleは1月、4月、7月、10月の年4回、自社製品の脆弱性をまとめて直す「クリティカル・パッチ・アップデート（CPU）」を出している。10月分ではデータベースや業務ソフトなど全製品で1295件の修正が並び、このうちJava SEの分が55件だった。

IPAが注意喚起「Oracle Java の脆弱性対策について(2026年10月)」を掲載したのは10月21日。悪用された場合の被害として「アプリケーションプログラムが異常終了する、攻撃者によってパソコンを制御される」といった例を挙げ、「攻撃が行われた場合の影響が大きいため、早急にセキュリティ更新プログラムを適用してください」と呼びかけた。対象には、Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503、8 Update 503-perfの8つの版を並べている。

Oracle Java の脆弱性対策について(2026年10月) https://t.co/QlyJ3xgm8w

— IPA （ICATalerts） (@ICATalerts) October 21, 2026

55件という数字は、ここ1年の定例更新と比べると目立つ。Java SEの修正件数は、2026年1月と4月がそれぞれ11件、7月が19件だった。7月のおよそ3倍にあたり、2025年10月の5件と比べれば11倍になる。

同じ週には、ウェブサイトの裏側で広く使われるプログラミング言語「PHP」でも深刻な脆弱性が見つかり、IPAが修正版の公開に備えるよう事前に呼びかけていた。ソフトの更新が相次いだ1週間だった。

関連記事：【PHP脆弱性パニック】「php2shell」とは　大手Webサービスが緊急メンテ、高市総理もコメントする事態に「何が起きてる？」「個人は何をするべきなの？」にわかりやすく解説

関連記事：PHP“緊急”脆弱性、21日23時に修正版公開予定　自分のサイトのPHPバージョン確認方法とWordPressでの備え

関連記事：Node.js、22・24・26系に脆弱性10件のセキュリティ更新　深刻度「高」は4件、圧縮データの展開で遠隔からコード実行のおそれ

55件のうち49件が遠隔から悪用可能、最高は7.5

「認証なしで遠隔から悪用できる」とは、攻撃者がログインのためのIDやパスワードを持たなくても、インターネットなどのネットワーク越しに攻撃を仕掛けられることを指す。Oracleの一覧表では、55件のうち49件がこれにあたる。

脆弱性にはそれぞれ「CVE」と呼ばれる世界共通の番号が付き、危険度は「CVSS」という0から10までの数値で示される。今回の55件で最も高い7.5は2件あった。1件目のCVE-2026-91484は、ブラウザーでJavaを動かすための古い仕組み「Javaプラグイン」の問題で、対象はJava 8だけ。そのパソコンにログインできる立場でなければ悪用できず、遠隔からの攻撃には当たらない。

もう1件のCVE-2026-43660は、Javaで画面を作るための部品「JavaFX」のうち、ウェブページを表示する部分の問題だ。こちらはネット経由で悪用されうるが、利用者が何らかの操作をすることが条件になる。次に高いのはCVE-2026-91415の7.0で、画像や図形を描く部品「2D」の欠陥。Java 8から27まで、サポート中の全系列が対象に入る。

全体を見ると、7.0以上は3件にとどまり、最も多いのは5.3の13件だった。部品別では通信まわり（Networking）が9件で最多。認証や暗号化通信など安全を守る仕組みの部品（Security、JSSE、JGSS、JAAS）も合わせて12件ある。

数字を読むうえで、Oracle自身が付けている注意書きがある。表のCVSSは、Javaアプレットや「Java Web Start」のアプリを管理者権限で動かす前提で計算したもので、これはWindowsでよくある使い方だ。管理者権限なしで動かす場合は、情報流出・改ざん・停止の各影響が「低」に下がり、点数も小さくなる。Oracleは、9.6の脆弱性なら7.1になる例を示している。

どこが狙われうるかは、脆弱性ごとに異なる。55件のうち12件は、ネットから取ってきた信頼できないプログラムを動かすパソコン側の使い方にだけ関係し、管理者が入れた信頼できるプログラムだけを動かすサーバーには当てはまらないとされた。残る43件は、ウェブサービスなどを経由してJavaの部品にデータを送り込む手口でも悪用されうる。サーバーで動く業務システムも、無関係とは言い切れない。

今回の55件が実際の攻撃に使われたという記載は、Oracleの文書にはない。ただOracleは、修正済みの脆弱性を狙う攻撃の報告をいまも受けており、更新していなかった利用者が被害を受けた例があると説明している。そのうえで、サポート中の版を使い、修正を遅らせずに当てるよう強く勧めた。

対象の版と更新先、米国時間21日には深刻度9.1の追加アラートも

IPAが対象に挙げた版と、Oracleが10月20日に出した更新版の対応は次のとおり。表の版より古いものも、更新が必要になる。

系列	IPAが対象に挙げた版	10月20日の更新版
Java SE 27	27	27.0.1
Java SE 26	26.0.2	なし（サポートは2026年9月まで）
Java SE 25	25.0.4.1	25.0.5
Java SE 21	21.0.12.1	21.0.13
Java SE 17	17.0.20.1	17.0.21
Java SE 11	11.0.32.1	11.0.33
Java SE 8	8 Update 503、8 Update 503-perf	8 Update 511、8 Update 511-perf

Java SE 26は、半年ごとに出る短期サポート版だった。Oracleのサポート計画では2026年9月で支援が終わっており、10月の更新版はリリースノートにも過去版のダウンロード一覧にも見当たらない。26を使い続けている場合は、27か、長期サポート版の25へ移ることになる。

更新版も対象になった深刻度9.1の脆弱性

定例更新の翌日にあたる米国時間10月21日、Oracleは「セキュリティアラート」として、CVE-2026-91403を別に公表した。暗号化通信（TLS）を扱う部品「JSSE」の脆弱性で、CVSSは9.1。55件のどれよりも高く、認証なしで遠隔から悪用できる。

厄介なのは、その対象の版だ。Oracleが挙げたのは8 Update 511、8 Update 511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1で、いずれも20日に出たばかりの更新版にあたる。定例更新を当てただけでは、この1件は残る。

Javaのオープンソース版を開発するOpenJDKプロジェクトの勧告によると、CVE-2026-91403は、安全性が損なわれた8つの「中間CA証明書」に関わる問題だという。中間CA証明書は、ウェブサイトなどの身元を保証する電子証明書を発行する側の証明書で、これが悪用されると、偽物の相手を本物と信じて通信してしまうおそれがある。OpenJDKは、単体でインストールしたJavaは早急に更新するよう勧め、すぐに更新できない場合は問題の証明書を手作業で無効にするか、証明書の失効確認を有効にする手順を示した。Ubuntuなど主要なLinuxに含まれるJavaは基本的にOSの証明書を使うため、OS側の証明書を更新すれば足りるとしている。FreeBSDのJavaや、Macでよく使われる「Homebrew」で入れたJavaは、Java本体を直接更新する必要があるという。

Oracleは10月21日付の告知で、eMudhraという認証局に関係する中間CA証明書を信頼しないようにした更新版を、Javaのダウンロードページで提供したと説明している。すぐに更新できない場合の手順として挙げたのは、OpenJDKと同じ2つの方法だ。そのダウンロードページでは、10月22日朝の時点で27.0.1.0.2、25.0.5.0.2、21.0.13.0.2、17.0.21.0.2、11.0.33.0.2が各系列の最新版として並ぶ。これから更新するなら、その時点の最新版を入れるのが確実だ。

10月22日朝の時点で、IPAの注意喚起ページにこのアラートは追記されていない。IPAは、追記すべき情報があればその都度ページを更新するとしている。

ライセンスの確認と、Oracle以外のJava

更新の前に、もう一つ確かめておきたいのがライセンスだ。IPAは、Oracleが2019年4月16日以降のJavaのリリースでライセンスを変えたことに触れ、「特に商用利用を行う組織においては」ライセンスを確認したうえで、ベンダーの有償サポートを受けるなどの対応を取るよう求めた。ライセンスの細かな中身は、Oracleの公開情報を見るか、Oracleへ直接問い合わせてほしいとしている。

10月の更新では、この点で変化が一つ起きた。Oracleのダウンロードページによると、Oracle JDK 21のライセンスは、21.0.13から「OTNライセンス」へ切り替わる。個人利用や開発での利用は無料のままだが、以前のライセンスで認められていた使い方の中には、認められなくなるものもあるという。一方、JDK 25と27は、本番環境でも無料で使える「NFTC」という条件で配布されている。Java 8については、個人や開発などの利用者向けに、java.comでの無料更新を続ける方針をOracleは示した。

Oracle以外が配布するJavaもある。OpenJDKプロジェクトは米国時間10月20日、Oracleの定例更新の55件のうち53件と同じ番号の脆弱性を、ソースコードで直したと発表した。これをもとに作られる「Eclipse Temurin」や「Amazon Corretto」などの配布版は、それぞれの配布元が修正版を出す。10月22日午前の時点で、両者の公式の配布一覧には、10月の修正を含む新しい版はまだ出ていなかった。こうした配布版を使っている場合は、配布元の発表を待って更新することになる。

自分は対象か、確かめ方と対処

個人のパソコンでは、Javaが入っていないことも珍しくない。自分で入れた覚えがなく、Javaを求めるソフトも使っていないなら、今回の更新で慌てる必要は薄い。

入っているかどうかを確かめる方法は、Oracleが案内している。Windowsなら「スタート」メニューのプログラム一覧で「Java」を探し、「Javaについて」を開けば版が表示される。コントロールパネルの「プログラム」に「Java 8 Update ◯◯」のような名前があれば、インストール済みだ。Macでは、「Javaコントロール・パネル」の「一般」タブにある「バージョン情報」で版を確かめられる。開発用のJDKを入れている場合は、ターミナルで「java -version」と入力しても版が分かる。IPAは注意喚起の中で、ソフトが最新かを簡単に調べられる「MyJVNバージョンチェッカ for .NET」も紹介している。

更新は、Oracleが一般の利用者向けに運営するjava.comからできる。10月22日朝の時点で、java.comの「デスクトップ用のJavaのダウンロード」ボタンから入手できる最新版は「Version 8 Update 511」で、配布ファイルのビルド番号は「b32」だった。20日のリリースノートに載るb09やb31より後に出たビルドで、英語版のページには公開日が10月21日と表示されている。日本語版のページは日付が「January 20, 2026」となっているが、配られるファイルは同じだ。Oracleが証明書の告知で入手先に挙げたダウンロードページでも、Java 8はこのb32が並ぶ。ただ、9.1の対象として挙げた8 Update 511がどのビルドを指すのかを、Oracleはアラートで示していない。java.comの「デスクトップ・ユーザー用のすべてのJava 8ダウンロード」のページでは、同じ時点で20日付のb09が配られていた。業務のシステムで使っている場合は、勝手に版を上げると動かなくなるおそれもあるので、社内の担当部署に確認してから進めたい。

企業の場合は、確認の範囲が広がる。Javaは社員のパソコンだけでなく、業務システムのサーバーや、ほかの会社の製品の中にも組み込まれて動いている。製品に同梱されたJavaは、その製品の開発元が更新版を出すのを待つ必要がある。IPAも、個別のシステムや環境についての質問には答えられない場合があるとして、製品の開発元への問い合わせを勧めた。Oracleは、社内のどこに古いJavaが残っているかを探せる「Java Management Service」を、すべての利用者に向けて用意している。

期限の目安もある。Oracleは今後、毎月第3火曜日にセキュリティ更新を出す予定を示しており、次は米国時間11月17日。27.0.1のリリースノートでも、11月17日に予定される次の更新の後は、この版を使い続けないよう勧めている。四半期ごとの定例更新（CPU）の次回は、米国時間2027年1月19日の予定だ。

今回の55件は、多くが中程度の深刻度で、Oracleの文書に実際の攻撃は記されていない。それでも49件が遠隔から悪用されうる以上、Javaを使っているなら早めに更新しておきたい。

個人なら、まずパソコンにJavaが入っているかを見る。入っていれば最新版へ上げ、使っていなければ対応は要らない。企業は、社内のパソコンとサーバー、他社製品に組み込まれたJavaまで洗い出し、ライセンスの条件も合わせて確かめることになる。Oracleが次の更新を出す11月17日（米国時間）が、ひとまずの区切りになる。

[文/構成 by MediaDogs編集部]