Oracle Java の脆弱性 CVE-2026-91403 が FIX：未認証のリモート攻撃の恐れ

Critical Oracle Java Flaw With CVSS 9.1 Allows Unauthenticated Remote Attacks

2026/10/23 gbhackers — Oracle が公表したのは、Oracle Java SE／GraalVM に影響を及ぼす深刻な脆弱性 CVE-2026-91403 に対するセキュリティ・アラートである。この脆弱性は、未認証のリモート攻撃者により悪用される可能性がある。2026年10月21日のアドバイザリは、この脆弱性の CVSS v3.1 スコアを 9.1 と評価しており、eMudhra に関連する中間認証局 (CA) のうち、影響を受けた証明書を信頼しないよう勧告している。

Oracle Java の重大な脆弱性

この脆弱性は、Java Secure Socket Extension (JSSE) コンポーネントに影響し、ネットワーク経由での攻撃が可能であり、攻撃の複雑さは低く、攻撃に必要な権限やユーザー操作も不要であると Oracle は説明している。

悪用に成功した場合には、機密性と完全性に深刻な影響が生じるが、可用性への影響はなく、セキュリティ上のスコープも変更されない。

今回のアラートは、証明書の信頼性に関する問題を対象とし、必要とされる対応には、eMudhra の特定の中間 CA 証明書に対する信頼の無効化が含まれる。

Oracle の運用ガイダンスでは、中間 CA 証明書の侵害に関する報告が言及されており、顧客に求められるのは、更新済みの Java リリースのインストールもしくは、代替の緩和策の実施である。

ここで重要なのは、今回のセキュリティ・アラートで示されたリスクと、実際に確認されている攻撃内容を区別することである。

Oracle は、未認証の攻撃者によるリモートからの悪用が可能であることを示している。ただし、公開されたアドバイザリでは、任意のコード実行が可能であるとは説明されておらず、具体的な攻撃手順やエクスプロイト・チェーンも提示されていない。

また、影響を受ける Java ランタイムを使用する、すべてのアプリケーションが悪用可能であると主張しているわけでもない。実際のリスクは、アプリケーションが影響を受けるコンポーネントの利用方法に応じて異なる。

Oracle によると、Web サービスが JSSE API にデータを渡すような状況では、JSSE API を通じて、この脆弱性が悪用される可能性がある。また、この脆弱性は、セキュリティ保護を Java サンドボックスに依存し、信頼できないコードを実行するサンドボックス化された Java Web Start アプリケーションや Java アプレットを使用する環境にも影響する。

影響を受けるバージョン

Oracle は、影響を受けるサポート対象バージョンとして、以下を挙げている。

これら以前の、古いリリースにおいても、脆弱性が存在する可能性がある。

Oracle は、Premier Support／Extended Support の対象外となっているバージョンについて、今回のアラートで対処する脆弱性に関するテストを実施していないと警告している。そのため、それらのユーザーに推奨されるのは、サポート対象のリリースへのアップグレードとなる。

修正方法と緩和策

Oracle は、最新の Java バージョンへのアップデートを推奨している。その一方で、すぐにアップデートできない組織に対しては、10月22日に更新されたガイダンスで、次の 2 つの代替策を提示している。

1. 影響を受ける証明書を手動でブロックする。
2. 証明書の失効確認を有効にする。

影響を受ける証明書の手動ブロック

管理者は、Java ランタイムの lib/security/blocked.certs ファイルを、Oracle が提供するオペレーティング・システムごとの代替ファイルに置き換える必要がある。既存のカスタム・エントリがある場合は、それらを保持しなければならない。なお、Java 8 では、置き換えるファイルの名前を blacklisted.certs とする必要がある。

TLS アプリケーションでの失効確認

Oracle は、TLS アプリケーションに対して、次の Java システム・プロパティを設定することを推奨している。

-Dcom.sun.net.ssl.checkRevocation=true
-Dcom.sun.security.enableCRLDP=true

これらの設定により、証明書の失効確認を有効化する。

署名付き JAR ファイルの検証

JDK 17 以降で署名付き JAR ファイルを検証する場合には、次のコマンドの使用が推奨されている。

jarsigner -verify -revcheck -strict [SIGNED_JAR]

このコマンドでは、署名の検証に加え、証明書の失効確認を実施する。

これらの緩和策は、証明書に関連するセキュリティ・リスクに対処するものである。

ユーザー組織に求められるのは、影響を受けるアプリケーションや Java のインストール環境全体に対して、更新済みランタイムを展開する準備を進めながら、これらの対策を実施することである。

この記事は、Java 実行環境である Oracle Java SE や Oracle GraalVM における安全制御の不備について解説するものです。特定の中間認証局証明書における信頼性の懸念や通信処理機能での入力不備が背景に存在します。影響として、不正な通信接続の許可やデータの機密性および完全性の侵害が生じる恐れがあります。対応策として、更新済み版への切り替え／対象証明書の手動遮断設定／証明書失効確認機能の有効化が求められます。