ニュース

「Oracle Java SE」にまた緊急のセキュリティアラート ～「eMudhra」問題への対策

「CVSS 3.1」の基本値は「9.1」

2026年10月27日 15:21

Oracleのセキュリティアラート「CVE-2026-114820」

　米Oracleは10月24日（現地時間、以下同）、定例外のセキュリティアラート「CVE-2026-114820」を公開した。インドの認証局「eMudhra」の中間証明書の秘密鍵が漏洩した問題に関連し、影響を受けるルートCA証明書を「Java」のキーストアから削除するアップデートを提供するものだ。21日に続くセキュリティアップデートとなる。

　影響するコンポーネントは「JSSE」。認証なしでネットワーク経由の悪用が可能で、機密性と完全性への影響が大きいと評価されている。

　本脆弱性は、以下の製品に影響する。「CVSS 3.1」の基本値は「9.1」（Critical）。対策版（括弧内）へのアップデートが必要だ。

  • Oracle Java SE
    ・8u511-b32（→ 8u511-b33）
    ・8u511-perf-b32
    ・11.0.33.0.2（→ 11.0.33.0.3）
    ・17.0.21.0.2（→ 17.0.21.0.3）
    ・21.0.13.0.2（→ 21.0.13.0.3）
    ・25.0.5.0.2（→ 25.0.5.0.3）
    ・27.0.1.0.2（→ 27.0.1.0.3）
  • Oracle GraalVM for JDK
    ・17.0.21.0.2
    ・21.0.13.0.2
  • Oracle GraalVM Enterprise Edition
    ・21.3.20.0.2

　また、「GraalVM」の次期機能更新であるv25.5は、最新のセキュリティアップデートを含めるためリリースが1週間延期される。現在のところ、11月3日が予定されている。




　なお、すぐにアップデートできない場合は、キーストアをバックアップしたうえで、以下の4つのルート証明書を削除する方法が案内されている。削除後は稼働中のJavaランタイムを再起動する。複数の独立したJavaランタイムを導入している場合は、それぞれで対応が必要だ。

  • emsignrootcag1 [jdk]
  • emsignrootcag2 [jdk]
  • emsigneccrootcag3 [jdk]
  • comodoaaaca [jdk]

　具体的な方法は、同社のドキュメントを参照のこと。このページではランタイムが危険にさらされているかどうかを確認するツール「CheckCerts.java」も提供されており、「JDK 8」以降で利用できる。

Amazonで購入