ニュース

Oracleがセキュリティ更新を毎月実施へ ～四半期ごとの「CPU」を補完する枠組み

新設の「CSPU」で943件のパッチを提供。「Java」「VirtualBox」「MySQL」などが影響

2026年8月24日 16:20

「Oracle Critical Security Patch Update Advisory - August 2026」

　米Oracleは8月18日（現地時間、以下同）、「Critical Security Patch Update」（CSPU）を実施した。「Oracle Java SE」「Oracle MySQL」「Oracle VM VirtualBox」を含む幅広い製品ファミリーに対し、943件の新規セキュリティパッチが提供されている。

　「CSPU」は、四半期ごとに実施されてきた累積的な「Critical Patch Update」（CPU）を補完する新しい枠組み。優先度の高いセキュリティ修正を、より小さく的を絞った形で提供するもので、影響を最小限に抑えつつ適用しやすくなるという。

　これに伴い、セキュリティ更新は毎月第3火曜日にリリースされることになった。今後の予定は以下の通り。

  • 2026年9月15日：CSPU
  • 2026年10月20日：CPU
  • 2026年11月17日：CSPU
  • 2026年12月15日：CSPU

　「Oracle Java SE」関連では、5件の脆弱性が修正された。このうち4件は、認証なしでリモートから悪用が可能。「CVSS 3.1」ベーススコアは最大で「7.8」と評価されている。影響を受けるのは、以下のバージョンだ。

  • Java SE 26.0.2
  • Java SE 25.0.4
  • Java SE 21.0.12
  • Java SE 17.0.20
  • Java SE 11.0.32
  • Java SE 8u501
関連記事

　同社のダウンロードページでは、対策済みの「JDK 26.0.2.1」「JDK 25.0.4.1」「JDK 21.0.12.1」「JDK 17.0.20.1」「JDK 11.0.32.1」「JDK/JRE 8u503」が公開されている。

　仮想化（Virtualization）製品に関する新規の脆弱性修正は、全21件。このうち2件は認証なしでリモートから悪用可能で、「CVSS 3.1」ベーススコアの最大は「8.6」（CVE-2026-71131）と評価されている。影響を受けるのは「Oracle VM VirtualBox 7.2.14」で、執筆時点の最新版は「VirtualBox 7.2.16」。

関連記事

　そのほかの製品ファミリーでは、「Oracle Hyperion」の262件がもっとも多く、以下「Oracle E-Business Suite」が120件、「Oracle Commerce」が66件、「Oracle Siebel CRM」が50件、「Oracle Supply Chain」が46件と続く。「Oracle MySQL」は9件（うち5件は認証なしでリモートから悪用可能）だった。

Amazonで購入