ニュース

Oracle、月例のセキュリティ更新「CSPU」を実施 ～673件のパッチを提供

「VirtualBox」に19件

2026年9月16日 17:54

「Oracle Critical Security Patch Update Advisory - September 2026」

　米Oracleは9月15日（現地時間）、「Critical Security Patch Update」（CSPU）を実施した。「Oracle Database Server」「Oracle E-Business Suite」「Oracle Java SE」「Oracle Virtualization」など幅広い製品ファミリーに対し、673件の新規セキュリティパッチが発行されている。

　「CSPU」は、四半期ごとに実施される累積的な「Critical Patch Update」（CPU）を補完するもの。優先度の高いセキュリティ修正を、より小さく的を絞った形で提供することで、影響を最小限に抑えつつパッチの適用を促すのが狙いだ。2026年5月28日に初めて実施され、以降は毎月第3火曜日にリリースされている。今後の予定は以下の通り。

  • 2026年10月20日：CPU
  • 2026年11月17日：CSPU
  • 2026年12月15日：CSPU
  • 2027年1月19日：CPU

　「Oracle Java SE」製品ファミリーでは、「Oracle GraalVM」を対象とする3件の脆弱性が修正された。いずれも認証なしでリモートから悪用が可能で、「CVSS 3.1」ベーススコアは最大で「8.1」と評価されている。

　仮想化（Virtualization）製品に関する新規の脆弱性修正は、全19件。「CVSS 3.1」ベーススコアが最大の「8.6」とされているのは、ローカルからの攻撃かつユーザーの操作を必要とする「CVE-2026-87273」。また、認証なしでリモートから悪用可能なのも1件含まれる（CVE-2026-87277/7.5）。

　Oracleのリスクマトリックスでは、いずれの脆弱性も「Oracle VM VirtualBox 7.2.16」に影響するとされている。同日付でリリースされた「VirtualBox 7.2.18」への更新が必要だ。

関連記事

　なお、前回の「CSPU」で対象となっていた「Oracle MySQL」は、今回は含まれていない。

Amazonで購入