ニュース

「Oracle Java SE」にも致命的な脆弱性 ～リモートでデータの窃取・作成・削除・変更が可能

  • 長谷川 正太郎

2026年10月22日 21:12

「Oracle Java SE」に致命的な脆弱性

　米Oracleは10月21日（現地時間）、定例外のセキュリティアドバイザリ「CVE-2026-91403」を公開した。「Oracle Java SE」に起因し、「Oracle GraalVM Enterprise Edition」や「Oracle GraalVM for JDK」にも影響する、致命的な脆弱性が修正されている。

　「CVE-2026-91403」は、ネットワークアクセス権限を持つ攻撃者が、攻撃対象となるアプリケーションがアクセス可能なすべてのデータへアクセスできてしまう可能性がある脆弱性。容易に悪用可能で、攻撃が成功するとデータの窃取・作成・削除・変更が可能となってしまう。

　指定コンポーネントのAPIを使用することで悪用される可能性があり、サンドボックス化されたJava Web Startアプリケーションやサンドボックス化されたJavaアプレットを実行するクライアントなどのJavaデプロイメントにも適用される。CVSS:3.1でのスコアは9.1（CRITICAL）。

　影響を受けるのは以下のバージョン。

  • Oracle Java SE 8u511
  • Oracle Java SE 8u511-perf
  • Oracle Java SE 11.0.33
  • Oracle Java SE 17.0.21
  • Oracle Java SE 21.0.13
  • Oracle Java SE 25.0.5
  • Oracle Java SE 27.0.1
  • Oracle GraalVM for JDK 17.0.21
  • Oracle GraalVM for JDK 21.0.13
  • Oracle GraalVM Enterprise Edition 21.3.20

　執筆時現在、編集部で調査した限りでは「CVE-2026-91403」を修正したと明記したバージョンは見つけられなかった。

Amazonで購入