Oracle Java SEに重大な脆弱性、悪用の確認は未公表
Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition の通信機能(JSSE)に、認証なしでネットワーク越しに攻撃できる重大な脆弱性が見つかりました。成功すると、扱うデータの閲覧や改ざんにつながるおそれがあります。自社で使っている Java の版を洗い出し、Oracle の告知に沿って修正版へ更新してください。
急ぎ度: 早めに
認証なしでネットワークから攻撃でき、CVSSは9.1と高い一方、実際の攻撃での悪用が確認されたという公表は現時点でないためです。
関係があるか
OracleのJava SEやGraalVMを、業務システム、Webサービス、バッチ処理、社内アプリなどで使っている組織が対象です。外部から受け取ったデータをJavaで処理するサービスは、特に優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Oracle Java SE | 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 | 版番号は公表内容に含まれていません。Oracleのセキュリティアラートで確認してください |
| Oracle GraalVM for JDK | 17.0.21、21.0.13 | 版番号は公表内容に含まれていません。Oracleのセキュリティアラートで確認してください |
| Oracle GraalVM Enterprise Edition | 21.3.20 | 版番号は公表内容に含まれていません。Oracleのセキュリティアラートで確認してください |
確かめ方
- 1サーバー、開発端末、コンテナイメージで使っているJavaの版を調べ、上の表の版と一致するか照らし合わせます。
- 2製品に同梱されたJava（組み込みのJREなど）も対象になりえます。業務パッケージやミドルウェアの製品情報で、同梱のJavaの版を確認してください。
- 3Oracle以外の配布元（OpenJDKビルドなど）を使っている場合は、各配布元が影響の有無を告知しているか確認してください。Red Hatは自社向けの情報ページを公開しています。
- 4クライアント端末で、外部から取得したコードをJavaのサンドボックス内で実行する使い方（Java Web Startやapplet）が残っていないかも確認してください。
何が起きたか
Oracle Java SEなどに含まれる通信機能の部品（JSSE）に、重大な脆弱性が見つかりました。攻撃者は事前の認証なしに、ネットワーク経由で攻撃できます。成功した場合、Javaが扱う重要なデータを読み取られたり、作成、削除、変更されたりするおそれがあります。一方で、サービスを止められる（可用性への影響）ことは想定されていません。
JSSEは、JavaがTLSなどで安全に通信するための標準機能です。この脆弱性は、弱点の種類としてCWE-295（証明書の検証が不適切）に分類されています。ただし、具体的にどの処理がどう誤るのかという技術的な詳細は、公表内容からは分かりません。
Oracleは、JSSEのAPIを使うアプリケーションが影響を受けると説明しています。たとえば、外部からデータを受け取るWebサービスが、そのデータを該当のAPIに渡す構成が当てはまります。また、インターネット由来の信頼できないコードをサンドボックス内で動かす使い方（Java Web Startやapplet）も対象です。
攻撃の流れ
-
1
標的の特定
攻撃者が、影響を受ける版のJavaで通信を処理しているサービスを見つけます。
-
2
ネットワークから接触
認証もユーザー操作も不要で、ネットワーク越しに該当の機能へ到達します。
-
3
JSSEの弱点を突く
通信の検証にかかわる処理の弱点を突かれ、本来は防がれるはずの接続や入力が通ります。
-
4
データへの不正操作
Javaが扱う重要なデータの閲覧や、作成、削除、変更が行われるおそれがあります。
どう悪用されるか
悪用に必要な条件は低く、認証は不要で、利用者の操作も要りません。ネットワークから到達できれば攻撃でき、攻撃の難易度は低いと評価されています。複数のプロトコルが経路になりうるとされており、Webサービスが外部のデータを該当のAPIに渡す構成も、攻撃の入口になりえます。
成功した場合の被害は、機密性と完全性への影響です。Javaアプリケーションが扱うデータを盗み見られたり、書き換えられたりする可能性があります。影響が及ぶ範囲は脆弱なJava自身に限られ、他のシステムへの波及（スコープの変更）は想定されていません。ただし、書き換えられたデータが業務システム全体に及ぼす影響は、そのシステムの使い方次第です。
今すぐやること
-
1
使っているJavaの版を洗い出す
サーバー、コンテナ、開発環境、業務パッケージ同梱のJavaを含め、版と配布元を一覧にします。外部からのデータを受けるサービスを優先して確認します。
java -version -
2
Oracleの告知で修正版を確認する
Oracleのセキュリティアラートで、各系統の修正版と入手方法を確認します。修正版の番号は公表内容に含まれていないため、必ず一次情報で確かめてください。
-
3
外部公開サービスから順に更新する
インターネットから到達できるサービス、外部のデータを処理するサービスを優先して修正版へ更新します。更新後は再起動と動作確認を行い、版が変わったことも確認します。
-
4
同梱製品と他の配布元の情報を確認する
Javaを同梱している業務製品は、製品ベンダーの更新案内を確認します。OpenJDK系などの配布元を使う場合は、その配布元の告知を確認します。
-
5
不要なサンドボックス利用をやめる
信頼できないコードをJavaのサンドボックスで動かす使い方が残っていれば、更新までの間は利用を止めることを検討してください。
すぐ更新できないとき
Oracleが公表した回避策は、現時点で明らかになっていません。更新までの間は、該当のJavaを使うサービスへのネットワーク到達範囲を必要な相手に絞り、外部のデータを受ける経路を見直して、被害の範囲を狭めてください。ただし、これは暫定的な軽減策であり、根本的な対処は修正版への更新です。
背景
Javaは、業務システムやWebアプリケーション、ミドルウェアの基盤として、多くの企業で使われています。JSSEは、そのJavaに標準で含まれるTLS通信の部品です。多くのアプリケーションが、利用者が意識しないままHTTPSや各種の暗号化通信に使っています。
通信の安全性を支える部品の欠陥は、一つの弱点が多くの製品に及びやすい点が問題です。Javaが製品に同梱されている場合、管理者がその存在に気づかず、更新が遅れることもあります。証明書の検証に関する弱点は、通信相手が本物かを確かめる仕組みを損なうため、これまでも各種ソフトウェアで繰り返し修正されてきました。
よくある質問
Q.すでに攻撃に使われていますか。
Q.社内の端末でJavaを使っているだけでも対象ですか。
Q.OpenJDKなどOracle以外のJavaは影響を受けますか。
Q.更新するだけで十分ですか。
まだ分かっていないこと
- 各系統の修正版の版番号は、公表内容に含まれていません。Oracleのセキュリティアラートで確認が必要です。
- 実際の攻撃での悪用の有無や、悪用される見込みを示す情報は、現時点で公表されていません。
- 弱点の技術的な詳細や、Oracle以外の配布元への影響範囲は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Oracle Corporation | Oracle Java SE | — | — |
| Oracle Corporation | Oracle GraalVM for JDK | — | — |
| Oracle Corporation | Oracle GraalVM Enterprise Edition | — | — |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2026-91403 openjdk-17
- Ubuntu UBUNTU-CVE-2026-91403 openjdk-8
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JSSE). Supported versions that are affected are Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1; Oracle GraalVM for JDK: 17.0.21 and 21.0.13; Oracle GraalVM Enterprise Edition: 21.3.20. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data as well as unauthorized access to critical data or complete access to all Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 9.1 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N).
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- REDHAT Red Hat
- web oracle.com
- web nvd.nist.gov
- web github.com