トップ ＞ 社会

Java SEに深刻度最高の脆弱性、米Oracleが定例外で公表

内容

どのような脆弱性か

米Oracleは10月21日（現地時間）、定例の更新とは別にセキュリティアドバイザリを出し、Java SEに原因がある脆弱性「CVE-2026-91403」を明らかにしました。影響はJava SE本体だけでなく、GraalVM for JDKとGraalVM Enterprise Editionにも及ぶとされています。報道の見出しでは、暗号化通信を担うJSSEに関わる脆弱性とも伝えられています。

悪用には、特定のコンポーネントのAPIが使われる可能性があります。ネットワークにアクセスできる攻撃者であれば手軽に悪用できるとされ、サンドボックス上でJava Web Startアプリやアプレットを動かすクライアント環境も対象に含まれます。深刻度の指標であるCVSS 3.1の基本値は9.1で、最も高い「CRITICAL」に分類されています。

攻撃されるとどうなるか

攻撃が成功すると、狙われたアプリケーションが読み書きできるデータすべてに攻撃者が手を伸ばせるおそれがあります。具体的には、データを盗み出されるほか、勝手に作られたり、消されたり、書き換えられたりする被害が想定されています。

影響するバージョンと修正状況

影響を受けるJava SEの具体的なバージョンは、報道では示されていません。また、この脆弱性を修正したと明記されたバージョンは、報道時点で確認できなかったと伝えられています。

実際に悪用された例や被害の報告があるかどうかは、現時点で明らかになっていません。

直前の定例更新との関係

米Oracleは今回の公表の直前に、今年最後となる定例のセキュリティ更新を実施しており、Java、VirtualBox、MySQLなどで合わせて1,295件の修正が行われました。このうちJavaについては55件の脆弱性が修正され、49件は認証なしで遠隔から悪用されるおそれがあるとして、IPAが早めに更新を適用するよう呼びかけています。なお同社は9月、AIによって脆弱性の発見が加速しているとして、Javaのセキュリティパッチを毎月提供する方針を打ち出しています。

利用者が取るべき対策

Java SEやGraalVMを使っている個人や企業は、IPAの呼びかけに沿って定例更新を早めに適用したうえで、米Oracleのアドバイザリを確認し、今回の脆弱性に対応した更新が出た時点で速やかに適用することが求められます。

注目ポイント

Javaは業務システムからクライアントまで幅広く使われているため、影響を受ける範囲の広さに関心が集まっています。定例更新の直後に、別枠で緊急の公表が行われた点も目を引きます。今後は、どのバージョンで修正されたかが明確になるかどうかが焦点です。

ネットでの反応

ネット上では、対象となる範囲が広いのではないかと心配する声が見られます。一方で、「またJavaか」と繰り返し見つかる重大な脆弱性にあきれる反応や、高額なライセンス料と結び付けて提供元を批判する声も目立ちます。報道は脆弱性の中身や修正状況を伝えていますが、受け止めは製品や提供元への不満に向かう傾向があります。また、同じ時期に話題になった他の言語の脆弱性と比べて注目度が低かったのではないか、と疑問を示す投稿もありました。

参考記事

• 「Oracle Java SE」にも致命的な脆弱性 ~リモートでデータの窃取・作成・削除・変更が可能/窓の杜　2026年10月22日 21:14

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。