Oracleは、機密情報の漏えいやデータ完全性の侵害を招くおそれのある重大な脆弱性「CVE-2026-91403」に対処するため、Javaの緊急セキュリティアップデートを公開しました。
2026年10月21日に公開されたセキュリティアドバイザリーでは、この脆弱性にCVSS 3.1スコア9.1が割り当てられ、認証なしでリモートから悪用可能と位置づけられています。今回のアップデートでは、影響を受けるeMudhraに関連する中間認証局証明書を信頼しないようにします。
脆弱性はJava Secure Socket Extension(JSSE)に影響します。Oracleのリスクマトリクスによると、攻撃はネットワーク経由で行われ、攻撃の複雑さは低く、必要な権限やユーザー操作もありません。
公表された評価では、悪用に成功すると機密性と完全性に大きな影響が及ぶ一方、可用性への影響はないとされています。攻撃者が制御する入力を、影響を受けるAPI経由で処理する環境では、特に重大な問題となります。
Oracleの対処は、メモリ破壊やコード実行といった従来型の欠陥を修正するものではなく、証明書を信頼しないようにする措置が中心です。
10月22日に更新された運用ガイダンスは、この措置について、侵害されたeMudhraの中間証明書に関する直接の報告や公的な情報開示を踏まえたものだと説明しています。修正版のJavaは、影響を受ける証明書群を信頼しなくなります。
文書化された機密性と完全性への影響から、情報漏えいやデータ改ざんの懸念は裏づけられます。ただし、今回の通知では、この脆弱性が実際の攻撃で悪用されたかどうかは確認されていません。
Oracleによると、影響を受けるコンポーネントのAPIを通じて悪用される可能性があります。そのAPIにデータを供給するWebサービス経由の攻撃も含まれます。
アドバイザリーは、信頼できないコードを読み込み、サンドボックス保護に依存する環境も対象としています。具体例として、サンドボックス内で動作するJava Web StartアプリケーションとJavaアプレットを挙げています。
影響を受けるOracle Java SEのバージョンは、8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1です。Oracle GraalVM for JDKの17.0.21と21.0.13、Oracle GraalVM Enterprise Edition 21.3.20も影響を受けます。
これらは脆弱性を含むリリースであり、管理者が対処の目標として選ぶべきバージョンではありません。Oracleは、サポート対象外のリリースは今回のセキュリティアラートでテストされていないものの、より古いバージョンも影響を受ける可能性が高いと警告しています。
セキュリティアラートのパッチは、Premier SupportまたはExtended Supportの対象リリースに提供されます。サポート対象外の環境は、移行が必要です。Oracleは、最新のJavaアップデートを適用するか、文書化された緩和策を実施するよう推奨しています。
アップデートできない管理者は、ローカルのblocked.certsファイルを、Oracleが提供するOS別のバージョンに置き換えることができます。その際、以前に追加したエントリは維持します。Java 8では、置き換え後のファイル名はblacklisted.certsになります。
別の方法として、TLSを使用するアプリケーションでは、-Dcom.sun.net.ssl.checkRevocation=trueと-Dcom.sun.security.enableCRLDP=trueで失効確認を有効にできます。
JDK 17以降で署名付きJARを検証する場合、Oracleはjarsigner -verify -revcheck -strict [SIGNED_JAR]を指定しています。ランタイムをすぐにアップグレードできない場合の暫定的な選択肢として、これらの方法が文書化されています。
Oracleは、これらの対策を代替手段として示しています。影響を受ける環境すべてで両方を同時に適用することは、要件としていません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。 チームで試してみる
翻訳元: https://cyberpress.org/oracle-patches-critical-java-security-flaw/
