Oracle の 2026年10月の Critical Patch Update：1,295 の脆弱性に対応

Oracle Releases 1,295 Security Patches to Fix Critical Vulnerabilities Across Multiple Products

2026/10/21 gbhackers — Oracle が公表した 2026年10月の Critical Patch Update (CPU) において、エンタープライズ製品全体を対象とする 1,295 件のセキュリティ・パッチが提供された。今回のアドバイザリは、Oracle ソフトウェアの脆弱性に加え、サードパーティ製コンポーネントの脆弱性にも対処している。未認証のリモート攻撃者が悪用できる、緊急度の高い脆弱性が含まれている点に注意する必要がある。影響を受ける製品には、データベース／ミドルウェア／業務アプリケーション／Java／MySQL／仮想化プラットフォームなどが含まれる。

すでにパッチが提供されている脆弱性についても、攻撃者による悪用の試みが続いていると、Oracle は警告している。報告された攻撃の中には、必要な修正を適用していなかった顧客における悪用の事例がある。それにより浮き彫りにされるのは、迅速な脆弱性対応と、サポート対象のソフトウェアバージョンを維持することの重要性である。

Oracle がセキュリティ・パッチを公開

Oracle Database Products においては、126 件の新たなセキュリティ・パッチが提供されている。具体的な対象には、Database Server／APEX／Essbase／GoldenGate／REST Data Services などの各種コンポーネントが含まれる。

Product Family / ProductSecurity PatchesRemotely Exploitable Without Authentication
Oracle Fusion Middleware206134
Oracle E-Business Suite19431
Oracle Siebel CRM12266
Oracle Communications11077
Oracle PeopleSoft10941
Oracle JD Edwards10244
Oracle MySQL9829
Oracle Java SE5549
Oracle Supply Chain5019
Oracle Essbase3814
Oracle REST Data Services3511
Oracle Analytics3314
Oracle Systems289
Oracle Database Server144
Oracle Construction and Engineering137
Oracle Enterprise Manager122
Oracle GoldenGate113
Oracle Trusted Answer Search81
Oracle Utilities Applications87
Oracle Secure Backup63
Oracle Virtualization60
Oracle Autonomous Health Framework51
Oracle Financial Services Applications55
Oracle Retail Applications55
Oracle TimesTen In-Memory Database40
Oracle HealthCare Applications44
Oracle Hospitality Applications44
Oracle Commerce32
Oracle APEX22
Oracle Application Testing Suite20
Oracle Global Lifecycle Management10
Oracle NoSQL Database11
Oracle SQL Developer11
Total1,295690

Oracle Database Server においては、14 件の脆弱性が対処されているが、そのうちの 4 件は認証なしでリモートから悪用できるものである。また、2 件のパッチは、クライアントのみのインストール環境にも適用される。

緊急度の高い問題の一つが、Database Server の OpenSSL コンポーネントに存在する CVE-2026-75803 であり、CVSS v3.1 スコアは 9.8 と評価されている。攻撃者は、認証情報やユーザー操作を必要とせずに、この脆弱性を TLS 経由で悪用できる。Oracle は、機密性／完全性／可用性への影響を High と評価している。影響を受けるバージョンには、19.3～19.32 および 23.4.0～23.26.3 が含まれる。

Oracle APEX には 2 件のパッチが提供されており、その一つが CVSS スコア 9.8 の CVE-2026-101521 である。General コンポーネントに存在する、この脆弱性における攻撃の複雑さは低く、ユーザー操作は必要とされないため、HTTPS 経由で認証なしに悪用される可能性がある。影響を受ける APEX のバージョンは、24.1.0～24.1.21／24.2.0～24.2.20／26.1.0～26.1.4 である。

もう一つの APEX の脆弱性である CVE-2026-66010 は、同梱されている DOMPurify コンポーネントに影響し、CVSS スコアは 6.1 と評価されている。緊急度の高い前述の APEX の脆弱性とは異なり、悪用にはユーザー操作が必要となる。この違いが示すのは、すべてのパッチを一律に扱うのではなく、それぞれの攻撃成立条件を評価することの重要性である。

Oracle Essbase においては、38 件のパッチが提供され、そのうち 14 件は認証なしでリモートから悪用できる脆弱性に対応するものだ。CVE-2026-91637／CVE-2026-91638／CVE-2026-91658／CVE-2026-91663 の 4 件は、いずれも CVSS スコア 9.9 と評価されており、バージョン 21.8.3.0.0 に影響する。

これらの脆弱性の悪用には低い権限が必要だが、ユーザー操作は不要である。攻撃経路には HTTP または T3/IIOP が悪用され、機密性／完全性／可用性への影響は High と評価されている。さらに、CVE-2026-91665 は CVSS スコア 9.8 であり、TCP 経由で認証なしに悪用できる。

Oracle Autonomous Health Framework においても、5 件のパッチが提供された。この製品に影響を及ぼす OpenSSL 関連の CVE-2026-75803 は、CVSS スコアが 9.1 と評価されており、バージョン 26.3～26.8 に影響する。それが示すのは、同じ CVE であっても、製品の利用状況や構成に応じて、深刻度の評価が異なる場合があることだ。

セキュリティチームにとって必要なことは、自組織で稼働している製品のバージョンを Oracle が公開する影響対象製品の一覧と照合し、該当するリスク・マトリックスを確認することである。今回の 1,295 件という数字は、セキュリティパッチの件数を示しており、必ずしも重複のない脆弱性の総数ではない。Oracle は、同一の CVE が複数の製品別リスク・マトリックスに記載される場合があると説明している。

Oracle が推奨するのは、迅速なパッチの適用である。暫定的な対策として挙げられるのは、悪用に必要な通信プロトコルの遮断や、不要な権限およびパッケージへのアクセスの排除などがある。ただし、こうした制御は、アプリケーション動作に影響を及ぼす可能性があるため、本番環境以外での事前検証が必要となる。また、これらの対策により、脆弱性そのものが修正されるわけではない。

過去のアップデートを適用していない組織に求められるものには、以前のアドバイザリの確認もある。サポートが終了したバージョンについては、今回の脆弱性の影響を受けるかどうかの検証が行われていない。その一方で Oracle は、古いバージョンも影響を受ける可能性があると警告している。したがって、ユーザー企業に推奨されるのは、サポート対象のバージョンへとアップグレードし、今後もセキュリティ・パッチを入手できるようにすることだ。

この記事は、Oracle が提供する主要なエンタープライズ製品群における広範なセキュリティパッチの修正対応について解説するものです。各種コンポーネントにおける暗号化処理部や各種モジュールの不備が背景に存在します。影響として、未認証の第三者による遠隔からの不正コマンド実行／システムデータの改ざんが生じる恐れがあります。対応策として、製品別影響一覧の確認／サポート対象版への引き上げ／最新累積修正プログラムの速やかな適用が求められます。