Javaは、業務システムからAndroid、Minecraftのサーバーまで、広く使われています。そのぶん、脆弱性が見つかったときの影響も広くなります。この記事では、JavaそのものをOracleの更新で保つことと、アプリが使うライブラリを更新することの2つに分けて、対策を整理します(2026年10月26日時点)。
① Oracleは、四半期ごと(1・4・7・10月)にまとめて修正を出す。直近は2026年10月、次回は2027年1月19日の予定。
② IPAが10月21日に、Javaを最新版へ更新するよう注意喚起している。
③ 実際の大きな被害は、Java本体よりも、ライブラリ(Log4j、Springなど)から起きている。
1. Java本体:四半期ごとの更新
Oracleは、Javaを含む製品のセキュリティ修正を、「Critical Patch Update(CPU)」として、四半期ごとにまとめて公開します。
IPA(情報処理推進機構)は、2026年10月21日(日本時間)に、「Oracle Java の脆弱性対策について(2026年10月)」を公表しました。IPAの注意喚起に挙がっている対象は、次のとおりです。
- Java SE 27 / 26.0.2 / 25.0.4.1 / 21.0.12.1 / 17.0.20.1 / 11.0.32.1 / 8 Update 503(Update 503-perf を含む)
IPAは、悪用されると、アプリケーションが異常終了したり、コンピュータが乗っ取られたりするおそれがあり、影響が大きいので、速やかに更新するよう呼びかけています。更新は、Oracleが提供する最新版にします。なお、2019年4月16日より後のバージョンはライセンスが変わっているため、業務で使う場合は、Oracleのライセンス条件を確認してください(IPAも同じ点を注意しています)。
2. 実例:ライブラリの脆弱性が大きな被害を生んだ
Log4Shell(CVE-2021-44228)
ログを出力するライブラリ「Apache Log4j」の脆弱性です。NVDの記載は、次のとおりです。
- 公開日:2021年12月10日
- 深刻度:CVSS v3.1 で 10.0(Critical、満点)
- 悪用の状況:CISAのKEV(悪用が確認された脆弱性の一覧)に、公開と同じ12月10日に追加
- 内容:Log4j 2.0-beta9 から 2.15.0 までで、ログのメッセージやその引数を攻撃者が操作できる場合に、LDAPサーバーなどから読み込んだ任意のコードが実行され得ます
- 対応:2.15.0 で既定では無効、2.16.0 で機能を削除。古い系統には、2.3.1・2.12.2・2.12.3 の修正版があります
この事例の教訓は、「ログに書くだけ」という、一見安全そうな処理にも、外からの入力が入り込む、ということです。さらに、使っている自覚のないところ(別のライブラリが内部で持っている)にも、Log4jは入っていました。
Spring4Shell(CVE-2022-22965)
Javaの代表的なフレームワーク「Spring」の脆弱性です。NVDの記載では、「JDK 9 以上で動く Spring MVC または Spring WebFlux のアプリで、リモートからコードを実行され得る」とされています。公開日は2022年4月1日、深刻度は CVSS v3.1 で 9.8(Critical)、CISAのKEVには4月4日に追加されました。
3. 自分のJavaアプリを確認する方法
| 確認すること | 方法 |
|---|---|
| JavaのバージョンとJDKの種類 | java -version を実行する。Oracle版かOpenJDK系かも確認する |
| 使っているライブラリの一覧とバージョン | Mavenなら mvn dependency:tree、Gradleなら gradle dependencies で、間接的に入っているものまで見る |
| 既知の脆弱性がないか | OWASP Dependency-Check などのツールや、GitHub の Dependabot で自動検査する |
| ログ・フレームワークの版 | Log4j と Spring は、最新の安定版か確認する |
今日からできるチェックリスト
java -versionで、バージョンを確認し、IPAの注意喚起の更新版(自分の系統の最新)か確かめる。- 古い系統(8 など)を使い続ける場合は、そのバージョンの更新が提供される契約・配布元か確認する。
- 依存ライブラリの一覧を作り、Log4j と Spring の版を確認する。
- 依存関係の自動検査を、ビルドの流れに入れる。
- 次回の更新(2027年1月19日予定)を、カレンダーに入れておく。
あわせて読みたい
出典と確認について
2026年10月26日時点で、以下の一次情報(公式の一覧・公的機関・脆弱性データベース)を直接確認して書いています。Oracleの次回公開日(2027年1月19日)は、報道が引用するOracleの案内によるものです。更新対象のバージョンは、IPAの注意喚起のとおりです。CPUの公開日(10月20日、米国時間)も、報道による記載です。
コメント