なぜIPAはOracle Javaの10月更新を急ぐよう求めたのか、55件中49件が認証なしで悪用され得る点を読む

2026年10月20日、Oracleは四半期ごとの定例更新「CPU」を公開し、Java SE向けに55件の修正を出した。うち49件は認証なしでネットワーク越しに悪用され得る。翌21日にIPAが早急な適用を呼びかけた理由が論点になっている。

IPAはなぜ、Oracle Javaの10月の更新を「早急に」適用するよう呼びかけたのか。

• IPAは2026年10月21日、Oracle Javaの更新プログラムを早急に適用するよう注意喚起した。
• Java SE向けの修正は55件で、うち49件が認証なしの遠隔悪用の対象とOracleは示した。
• 最大のCVSS基本スコアは7.5で、9.0以上の「緊急」に当たるものは含まれない。
• 影響は使い方で変わるが、外部のデータを扱うJavaは優先して更新する必要がある。

10月20日と21日に何が出たか

OracleのCritical Patch Update Advisory（2026年10月版）は、10月20日に初版が公開された。製品全体では1295件の新しいセキュリティパッチを含む。Java SEの欄だけを見ると、新しいパッチは55件である。

IPAの注意喚起は、日本時間の10月21日に出た。対象はサポート中のOracle Java SEで、27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503（8 Update 503-perf を含む）が並ぶ。Oracleのリスク一覧が挙げる影響版と同じ顔ぶれである。

IPAのページには、件数もCVSSも書かれていない。書かれているのは、悪用されるとアプリケーションの異常終了や、攻撃者によるパソコンの制御などの被害が出るおそれがあることと、「攻撃時の影響が大きいため」早急に適用してほしいという呼びかけである。では、件数の側から見ると何が分かるのか。

55件中49件が「認証なし」の意味

Oracleは「認証なしで遠隔から悪用され得る」を、ユーザーの資格情報がなくてもネットワーク越しに悪用され得る、と定義している。55件のうち49件がこれに当たり、割合は約89%である。残る6件は、この条件に当たらない。

認証が要らないということは、攻撃者がアカウントを手に入れる手間を省けるということだ。入口が増えるほど、守る側が見張るべき場所も増える。

49件が属するコンポーネントは、Networking、JAXP、JSSE、Security、2D、Compilerなど、Javaの基本部品に広く散らばっている。特定の機能を使わなければ避けられる、という形の話ではない。

ただし「遠隔から悪用され得る」は、実際に攻撃が起きているという意味ではない。この点を押さえたうえで、深刻度の側も見ておく必要がある。

最大CVSS7.5をどう読むか

Java SEの欄で最も高いCVSS 3.1の基本スコアは7.5である。7.5が付くのは2件で、JavaFXのWebKitGTKに関するCVE-2026-43660と、Java pluginに関するCVE-2026-91484だ。

前者はネットワーク経由だが、攻撃の複雑さが「高」で、ユーザーの操作も要る。後者の攻撃元区分は「ローカル」で、影響版は8 Update 503に限られる。CVSSでは7.0〜8.9が「高」、9.0以上が「緊急」の区分であり、今回のJava SEに「緊急」はない。

Oracleのスコアは、Javaアプレットや Java Web Start をWindowsの管理者権限で動かす前提で計算されている。管理者権限で動かさない環境（SolarisやLinuxなど）では、影響の評価が下がると表に注記がある。

つまり個々の深刻度だけを見れば、すぐ緊急事態という数字ではない。それでも早急な適用が求められるのは、別の事情が重なるからだ。

使い方で変わるリスクと「未適用」の警告

Oracleの注記は、影響を2つの使い方に分ける。1つは、インターネットから来た信頼できないコードをサンドボックスで動かすクライアントで、アプレットやWeb Startが典型である。もう1つは、管理者が入れた信頼できるコードだけを動かすサーバーで、前者の脆弱性は対象外になる。

ところが、多くの注記には続きがある。指定されたコンポーネントのAPIにデータを渡すだけでも悪用できる場合があり、Webサービスが外部のデータをAPIに渡す構成が例に挙がる。サーバーであっても、外部から入力を受けるなら安全とは言い切れない。

さらにOracleは公開資料の冒頭で、すでにパッチを出した脆弱性を悪用しようとする試みの報告を受け続けていると述べている。攻撃が成功した例では、対象の顧客が公開済みのパッチを適用していなかったという。Oracleは、サポート中の版に留まり、パッチを遅れず適用するよう強く勧めている。

筆者の解釈では、IPAの「早急に」は、個々のスコアよりも、認証なしの入口が49件あることと、未適用が実際の被害につながってきたというOracleの警告を合わせた判断と読める。ただしIPA自身は、この件数を理由として明記していない。

量の違いも目を引く。Oracleは2026年8月から毎月の更新を始めており、8月のJava SEの修正は5件（うち4件が認証なしの遠隔悪用）だった。10月は四半期ごとのCPUのため、55件と約11倍の規模になっている。

何を確認し、どう更新するか

最初の作業は、手元のJavaの版を知ることだ。社内で使う業務ソフトが専用のJavaを抱えている場合もあるため、パソコンとサーバーの両方を洗い出す。IPAは、ソフトウェアが最新かを調べる「MyJVNバージョンチェッカ」も紹介している。

次に、OracleのJava Downloadsから最新版を入れる。8月の更新後に出た版は、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8u503だと報じられた。Oracleの影響版の一覧にこれらの番号が含まれるため、同じ番号のままなら今回の更新が必要である。

IPAは、2019年4月16日以降のリリースではライセンスが変わっていると念を押している。特に商用利用の組織は、ライセンスを確認し、有償サポートの利用なども検討するよう求めている。ライセンスの詳細はIPAでは把握しておらず、Oracleへの確認が案内されている。

IPAの注意喚起はOracleの製品が対象である。OpenJDKをもとにした他社の配布版は、更新の時期も番号も別になるため、提供元の案内を見る必要がある。

よくある質問

Q. Oracle Javaの10月の更新では、何件の脆弱性が修正されたのか？

Java SE向けの新しいセキュリティパッチは55件である。Oracleの公開資料によると、うち49件が認証なしで遠隔から悪用され得る。Oracle全製品では1295件のパッチが出ている。

Q. 自分のJavaが今回の対象かどうかは、どう確認するのか？

コマンドラインで java -version を実行すると、導入済みの版数が分かる。IPAは対象として、Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503（-perf を含む）を挙げている。これらの番号と一致するなら、更新前の版である。

Q. 更新後の版の番号は、どこで確認できるのか？

IPAの注意喚起には、更新後の個別の版番号は載っていない。IPAはOracleの最新版へ更新するよう案内しているため、番号はOracleのJava Downloadsで確認する。報道によって番号の表記が異なる場合があるので、公式ページを基準にする。

Q. サーバーで動かしているJavaも、急いで更新する必要があるのか？

必要である。Oracleの注記では、信頼したコードだけを動かすサーバーは一部の脆弱性の対象外とされる。ただし、Webサービスなどを通じて外部のデータをAPIに渡す使い方では、悪用され得るものが残る。

Q. 次のOracleの定例更新はいつ出るのか？

Oracleは毎月第3火曜日にセキュリティ更新を出す方針に移ったと報じられている。この規則どおりなら、次は2026年11月17日が予定日になる。四半期ごとのCPUは、このほかに1月・4月・7月・10月に出る。

早急の根拠は件数と未適用の重さ

IPAが早急な適用を求めた理由として、IPAのページに書かれているのは、攻撃されたときの影響の大きさである。Oracleの資料は、その背景を数字で示す。Java SE向け55件のうち49件が、認証なしで遠隔から悪用され得る。

最大のCVSSは7.5で「緊急」はなく、影響は使い方でも変わる。それでも、サーバーが外部のデータをAPIに渡す構成では対象になり得て、Oracleも未適用の環境で攻撃が成功した例を挙げている。

だから、版番号の確認と最新版への更新は、個々のスコアを見比べる前にやる作業になる。まず手元のJavaの版を調べ、OracleのJava Downloadsで最新版に入れ替えるのが、今回の注意喚起に沿った動きである。