- 会員限定
- 2026/10/22 14:45 掲載
IPA、Oracle Javaの脆弱性55件で早急な更新を呼びかけ 49件は認証不要で悪用の恐れ
IPAは10月21日、Oracle Javaの脆弱性対策に関する注意喚起を公開した。Oracleが公表した10月の四半期定例パッチにはJava SE向けの修正が55件含まれ、うち49件は認証なしにネットワーク経由で悪用される可能性がある。対象はJava SE 27から8 Update 503までの8バージョンで、IPAは最新版への早急な更新を呼びかけている。
（出典：IPA）
Oracleによると、10月の四半期定例パッチ「Critical Patch Update（CPU）」は、同社製品全体で1,295件のセキュリティパッチを含む。このうちJava SEは55件で、49件は認証なしにネットワーク経由で悪用される可能性があるという。JavaFXやGraalVMも、影響を受ける製品として挙げられている。
IPAが示した対象は、Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503、8 Update 503-perfの8バージョン。いずれもサポート中の製品で、対策は、Oracleが提供する最新版への更新となる。
Oracleの一覧に基づくと、深刻度を示す共通脆弱性評価システム（CVSS）3.1の基本スコアは、最大で7.5。7.0以上は3件、4.0以上7.0未満が38件、4.0未満が14件だった。最も高い7.5は、Java pluginの1件（ローカル攻撃）と、JavaFXの1件（ユーザー操作が必要なネットワーク攻撃）。
IPAは、Oracleが2019年4月16日以降のJavaのリリースでライセンスを変更しているとも説明している。特に商用利用の組織には、ライセンスの確認と、ベンダーの有償サポートなど適切な対応を求めた。なお、IPAはライセンスの詳細やサポート内容を把握しておらず、Oracleへの確認を促している。
では、深刻度が最大7.5にとどまる今回の修正を、各社はどこまで急ぐべきなのか。背景には、前回7月の定例パッチと比べた修正件数の膨らみ方と、CVSSの数字だけでは見えない前提条件がある。
Oracle Java SEの7月と10月の定例パッチを比べると、修正件数の伸びが分かる
（出典：Oracleの公開情報をもとに作成）
この記事の続き ＞＞
・7月の定例パッチと比べて、Java SEの修正は何倍になったのか
・修正が最も多かった機能と、操作不要で狙える最高値の脆弱性
・CVSSの点数が前提とする権限と、次のパッチ公開日
・7月の定例パッチと比べて、Java SEの修正は何倍になったのか
・修正が最も多かった機能と、操作不要で狙える最高値の脆弱性
・CVSSの点数が前提とする権限と、次のパッチ公開日
今すぐビジネス＋IT会員に
ご登録ください。
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
セキュリティ総論のおすすめコンテンツ
Googleで見つけやすく
共有する
-
0
-
0
-
0
-
0
-
0
関連タグ
タグをフォローすると最新情報が表示されます
セキュリティ総論の関連コンテンツ
あなたの投稿
PR
PR
PR
