Oracle Javaの脆弱性（2026年10月）｜対象の版と今やること

最終更新：2026年10月22日（JST）

10月22日の夕方、私たちが開発に使っているMacの1台で、Javaの版を確かめました。ターミナルで java -version を打つと、返ってきたのは「Javaが見つからない（Unable to locate a Java Runtime）」という表示です。ところが、Homebrewで入れたものの一覧（brew list --versions）を見ると、OpenJDKの27と21.0.11の2つが入っていました。OpenJDKの告知（10月20日）は「21.0.12.1以前」を影響を受ける版としているので、4月の版の21.0.11も対象に入ります。

分かったのは、java -version が答えるのは既定で使われる1つだけだということです。パソコンやサーバーには、業務アプリに同梱されたJavaや、Homebrew・OSのパッケージで入れたJavaが、別の場所に入っていることがあります。今回のように対象の版がいくつもある更新では、置き場所ごとに確かめるのが確実です。

この記事では、Oracleの公式の告知（Critical Patch Update Advisory – October 2026）、Java SEの各版のリリースノート、IPAの注意喚起を一次情報にして、対象の版・修正版・版の確かめ方・更新の手順をまとめます。Oracle JDK 21は今回の修正版からライセンスの扱いが変わる点も、OracleのライセンスのFAQとリリースノートで確かめました。

同じ週には、PHPとNode.jsでも緊急の更新が出ています。WordPressなどPHPで動くサイトがある会社はPHPの緊急脆弱性（php2shell）｜レンタルサーバーの対応と今やることを、Node.jsで動くサービスがある会社はNode.jsの脆弱性（2026年10月）｜22・24・26系の更新と今やることも合わせて確かめてください。

Oracleが10月20日（日本時間21日）に公開したJavaの修正

Oracleは2026年10月20日（日本時間21日）、3か月ごとの定例のセキュリティ修正「Critical Patch Update」を公開しました（Oracle Critical Patch Update Advisory – October 2026）。Oracleの製品全体で1,295件の修正があり、そのうちJava SEの分は55件です。55件のうち49件は、認証なしでネットワーク越しに悪用されるおそれがあるとされています。

国内ではIPAが10月21日に「Oracle Java の脆弱性対策について(2026年10月)」を出しました。悪用された場合は「アプリケーションプログラムが異常終了する、攻撃者によってパソコンを制御される、といった様々な被害が発生するおそれがあります」として、早急に更新するよう呼びかけています。

深刻度と、サーバーに関わるかどうか

深刻度はCVSS 3.1の点数で示されています。最も高いのは7.5の2件で、1つはJava 8のブラウザ用の仕組み（Java plugin）、もう1つはJavaFXのWeb表示の部品（WebKitGTK）の問題です。次が7.0の1件で、描画の部品（2D）の問題が8・11・17・21・25・27の各系列に当たります。

Oracleは、それぞれの脆弱性がどんな使い方で悪用されうるかを、3つの注記で分けています。社内のサーバーに関わるのは、主に2つ目と3つ目です。

つまり、55件のうち43件（Note 2とNote 3）は、外からデータを受け取るサーバーのJavaにも関わります。また、Oracleの点数は「アプレットやJava Web Startを使う人が管理者の権限を持っている（Windowsではよくある）」前提で付けられていて、管理者の権限が無い場合は点数が下がる（例：9.6が7.1に）と書かれています。

次の更新は11月17日

Oracleは毎月第3火曜日に修正を出す形に変わっていて、定例（Critical Patch Update）の無い月には「Critical Security Patch Update」を出しています（Oracleのセキュリティ告知の一覧。一覧の最初は2026年6月の分）。告知に載っている次の予定は、2026年11月17日・12月15日と、2027年1月19日（定例）です。各版のリリースノートも、今回の版を11月17日の更新の後は使い続けないよう勧めています。今回の更新で手順を決めておくと、毎月の更新にそのまま使えます。

対象の版と、更新後の版

Oracleの告知が対象としている版と、10月20日に出た修正版は次のとおりです。修正版の番号は、各版のリリースノート（例：JDK 21.0.13 Release Notes）の「Security Baselines」の表でも確かめられます。

表の「対象の版」は、Oracleがサポート中の版として名前を挙げたものです。Oracleは、サポートの終わった古い版は検査していないものの、同じように影響を受ける可能性が高いとして、サポート中の版への更新を勧めています。

気をつけたいのは、21.0.12.1や25.0.4.1のように末尾に「.1」が付いた版です。これらは2026年8月18日に出た版（JDK 21.0.12.1 Release Notes）で、8u503も同じ日の版です。8月に更新を済ませた会社も、今回もう一度の更新が要ります。

26系は、Oracleのサポートロードマップで更新の期間が2026年9月までとされ、リリースノートの一覧でも最新は8月18日の26.0.2.1のままです。Oracleは、次の版が出た長期サポートでない版を「置き換え済み」として扱うので、27.0.1か25系へ移します。

このほか、JavaFX（21.0.12・25.0.4・27）、GraalVM for JDK（17.0.20.1・21.0.12.1）、GraalVM Enterprise Edition（21.3.19.1.1）も同じ告知の対象です。なお、Oracleのダウンロードページには「27.0.1.0.2」のように後ろに番号の付いた版が並んでいることがあります。迷ったら、その時点のダウンロードページにある最新の版を入れてください。

OracleのJDK以外（OpenJDK・Temurinなど）を使っている場合

OpenJDKをもとにしたJava（Eclipse Temurin、Homebrewのopenjdk、Linuxのディストリビューションのパッケージなど）を使っている場合は、Oracleの修正版ではなく、使っている提供元の修正版に上げます。OpenJDKの脆弱性の担当グループも10月20日に告知を出し、影響を受ける版を「26.0.2.1、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8u504とそれ以前」としています（OpenJDK Vulnerability Advisory: 2026/10/20）。OpenJDKの一覧で最も高い点数は7.0の1件（2Dの部品）で、JavaFXのもとになるOpenJFXの一覧では7.5の1件です。

提供元ごとに、修正版の出る時刻はずれます。10月22日の夕方に確かめた時点では、次のとおりでした。

• Eclipse Temurin（Adoptium）：17時30分（日本時間）の時点で、公式のお知らせ（Adoptium News）に10月の修正版の公開の告知はなく、Adoptiumの公式のAPIで取れる21系の最新も21.0.12.1でした。
• Homebrew：17時47分の時点で、openjdk@21は21.0.13、openjdk@25は25.0.5、openjdk@17は17.0.21に上がっていました。一方、27系のopenjdkはまだ27のままでした（Homebrew Formulae）。
• Linuxのディストリビューションのパッケージ：使っているディストリビューションのセキュリティの告知で、修正版の番号と出た日を確かめます。

java -version の表示に提供元の名前が出る場合があり（私たちのMacでは「OpenJDK Runtime Environment Homebrew」と出ました）、どこから入れたJavaかを見分ける手がかりになります。

更新の前に確かめること：ライセンスと、動きが変わる点

今回の修正版には、版によってライセンスの扱いが変わるものがあります。また、これまでと既定の動きが変わる点もリリースノートに書かれています。本番のサーバーに入れる前に、次の2つを確かめてください。

Oracle JDK 21は21.0.13からOTNライセンスに変わる

OracleはJDK 21.0.13のリリースノートで、21.0.13を「OTN（Oracle Technology Network License Agreement for Oracle Java SE）のもとで出すJDK 21の最初の更新」だと明記しています。これまでのJDK 21の更新に使われていた無償のライセンス（NFTC）とは大きく異なり、個人での利用や開発での利用などは無償で認められますが、NFTCで認められていたほかの使い方は認められなくなる場合がある、と書かれています。

OracleのライセンスのFAQ（2026年10月20日更新）をもとに、Oracle JDKの系列ごとの扱いを並べると次のとおりです。

OTNで無償とされている使い方は、パソコンでの個人の利用、開発・テスト・試作・デモ、Oracleが承認した製品と一緒に使う場合などです。それ以外の業務での利用には、有償の「Java SE Universal Subscription」が案内されています。また、Oracleのサポートロードマップは、無償のライセンスの版を使い続けたい場合はOracle JDK 25以降へ移るよう案内しています。

つまり、Oracle JDK 21を本番で使っている会社には、①契約を確かめたうえで21.0.13に上げる、②Oracle JDK 25.0.5に移る、③OpenJDKをもとにしたJava（Temurinなど）に移る、の3つの道があります。業務アプリにOracle JDKが同梱されている場合は、アプリの提供元がOracleと契約していることがあるので、OracleのFAQのとおりアプリの提供元に確かめます。IPAも注意喚起の中で、商用で使う組織はライセンスを確かめるよう呼びかけ、詳細はOracleの公開情報を確かめるか、Oracleに直接問い合わせるよう案内しています。

更新で動きが変わる点

各版のリリースノートの「Other Notes」には、今回の更新で既定の動きが変わる点が書かれています。主なものは次のとおりです。

リリースノートには、元の動きに戻すための設定（システムプロパティ）も書かれています。戻すかどうかは影響を確かめてから決め、まずは検証用の環境で業務アプリが動くかを試してから本番に入れてください。

今日やること①：Javaの版を確かめる（Windows・Mac・Linux）

どの環境でも、まずは java -version で版を確かめます。Oracleのマニュアル（The java Command）では、このオプションは製品の版を表示して終わるものです。ただ、冒頭で書いたとおり、表示されるのは既定で使われる1つだけです。置き場所ごとに、次の方法も合わせて使ってください。

java -version

Java 8は「1.8.0_511」、Java 11以降は「21.0.13」のように表示されます。表の修正版の番号以降かどうかで判断します。

Windows

• コマンドプロンプト：java -version を実行します。
• スタートメニュー：「Java」のフォルダの「Javaについて（About Java）」で、パソコン向けのJava（JRE 8）の版が分かります。
• コントロールパネル：「プログラム」→「プログラムと機能」に、入っているJavaの版が一覧で出ます（例：Java 8 Update 511）。古い版が残っていないかも、ここで確かめます。
• JDKの置き場所：Oracle JDKは既定で C:\Program Files\Java\jdk-27.0.1 のように、版ごとのフォルダに入ります。

Mac

• ターミナル：java -version で、既定のJDKの版が分かります。
• 入っているJDKの一覧：/usr/libexec/java_home -V で、macOSが見つけたJDKの一覧が出ます。
• Homebrewで入れたもの：brew list --versions で確かめます。私たちのMacでは、上の2つの方法ではJavaが見つからず、この方法で初めて2つのOpenJDKが見つかりました。
• ブラウザ用のJava（JRE 8）：java.comの案内にあるとおり、/Library/Internet\ Plug-Ins/JavaAppletPlugin.plugin/Contents/Home/bin/java -version で確かめます。

Linux

• 端末：java -version で、既定のJDKの版が分かります。
• RPMで入れた場合：rpm -q --whatprovides java で、どのパッケージのJavaかが分かります（Oracleのインストールの手引きに載っている方法です）。
• コンテナ：コンテナの中のJavaは、ホストのJavaとは別です。イメージごとに確かめます。

アプリに同梱されたJavaと、まとめて探す方法

業務アプリや開発の道具には、Javaが同梱されているものがあります。その場合は、アプリの提供元の更新を確かめて当てます。また、IPAの注意喚起は版を確かめる道具として「MyJVNバージョンチェッカ for .NET」を挙げていますが、10月22日の時点では、JVN iPediaとMyJVNのサービスがシステムメンテナンスのため一時停止しています（JVNのお知らせ）。台数が多い会社には、Oracleの「Java Management Service」も選択肢です。Oracleは、この仕組みはすべての利用者が使え、システムの中の脆弱なJavaの版を見つけるのに役立つと説明しています。

社内のリポジトリやサーバーの設定が多い会社は、AIのコーディングの道具に洗い出しを手伝わせると早く進みます。変更はさせず、一覧を出させるところまでにします。

このリポジトリの中で、Javaの版を決めている箇所をすべて一覧にしてください。
見る場所：DockerfileのFROM行、ビルドの設定（pom.xml・build.gradle など）、
CIの設定、.java-version などの版を指定するファイル。
ファイル名・行・書かれている版を表にして、ファイルは変更しないでください。

今日やること②：Javaを更新する

版を確かめたら、置き場所ごとに更新します。Oracleのインストールの手引きは、Javaのプロセスが動いている間にJDKを置き換えたり上書きしたりせず、すべてのJavaのプロセスを止めてから更新するよう書いています。

1. サーバーの業務アプリを止める：Javaで動くサービスを止めてから、JDKを入れ替えます。更新した後は動かし直し、java -version と業務アプリの動きを確かめます。
2. Oracle JDKを入れ替える：OracleのJava Downloadsから、Windowsはインストーラー（.exeか.msi）、Macは.dmg、LinuxはRPM・Debianのパッケージ・圧縮ファイルを取って入れます。Windowsで台数が多い場合は、MSIを使ったコマンドでの導入（例：msiexec.exe /i jdk-27_windows-x64_bin.msi）もできます。
3. 古い版を消す：MacとRPMでの導入では、同じ系列の古い版は新しい版を入れる時に消されます。Windowsでは版ごとにフォルダが分かれるので、古い版は「プログラムの追加と削除」で消します。
4. パソコンのJava（JRE 8）を更新する：Javaコントロールパネルの「更新」タブの「今すぐ更新」か、java.comから最新版を入れます。java.comは、古い版を残すと重大なセキュリティのリスクになるとして、古い版をすべて消すよう強く勧めています（Windowsでは「Javaアンインストール・ツール」も使えます）。更新の知らせが本物か分からない時は、java.comに直接行って入れるよう案内しています。
5. コンテナを作り直す：Javaの入ったベースイメージを使っているなら、修正版の入ったイメージで作り直してデプロイし直します。動いているコンテナは、作り直すまで古いJavaのままです。
6. 26系の移行を決める：修正版が出ないので、27.0.1か25系へ移す日を今日決めます。

つまずきやすい点

• ❌ java -version で1つ確かめて終える → ⭕ 業務アプリの同梱分・Homebrew・コンテナまで、置き場所ごとに確かめる
• ❌ Javaで動くサービスを動かしたまま上書きする → ⭕ 止めてから入れ替え、動かし直してから版を確かめる
• ❌ Windowsで新しい版を入れて終える → ⭕ 古い版のフォルダが残っていないか、「プログラムと機能」で確かめる
• ❌ Oracle JDK 21の21.0.13を本番に入れてから、ライセンスの扱いに気づく → ⭕ 更新の前に、契約・25系への移行・OpenJDKをもとにしたJavaのどれにするかを決める

すぐに更新できないとき

Oracleの告知は、修正を当てるまでの間の一時的な対策として、次の2つを挙げています（告知の「Workarounds」）。

• 攻撃に使われる通信（プロトコル）を止める。
• 特定の権限や部品への接近が要る攻撃には、その権限や接近を、必要の無い利用者から外す。

ただしOracleは、どちらも業務アプリの動きを壊すことがあるので本番以外で試すよう求め、どちらも根本の問題を直すものではないので長く続ける対策として考えるべきではない、としています。今回のJava SEの55件は、攻撃に使われる通信の欄のうち46件が「Multiple（複数）」で、通信を1つ止めて済む形のものは多くありません。

パソコンについては、Note 1の12件が、信頼できないコードをJava Web Startやアプレットで動かすパソコンに当たるとされています。更新までの間は、インターネットから来たJava Web Startのアプリやアプレットを動かさないようにし、使っていないJavaは消しておきます。国家サイバー統括室も10月9日の文書（不正アクセスによる漏えい等の事案を踏まえた対応について）で、「利用していないシステムや機能は停止・削除する」「サポートが終了している製品・バージョンを利用しない」を挙げています。

入られたかもしれないとき

10月22日の時点で、Oracleの告知にもIPAの注意喚起にも、今回の脆弱性が悪用されたかどうかの記載や、入られた痕跡の見方の記載はありません。一方でOracleは告知の冒頭で、すでに修正を出した脆弱性を悪用しようとする試みの報告を受け続けていて、修正を当てていなかったために攻撃が成功した例もあると書いています。

国家サイバー統括室は10月9日の文書で「侵入を完全に防ぐことは困難です。不審な挙動の早期発見と迅速な対応が被害発生及び拡大の防止につながります」としています。更新と合わせて、次の点を確かめてください。

公的機関が挙げている確かめ方

• 業務アプリごとのログ：IPAは10月9日の注意喚起（不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について）で、アプリやサービスごとに直近のログに異常が無いかを確かめるよう求め、見分け方の例として「エラーの出力量、平時との差異」を挙げています。まず直近1か月、その後3か月と、範囲を広げて見ます。
• アプリケーションサーバーに置かれたファイル：JPCERT/CCは10月9日の更新（JPCERT-AT-2026-0030）で、公開Webサーバーからアクセスできるアプリケーションサーバーに、WARファイル（.war）が置かれ、中のJSPファイル（.jsp）が簡易なWebシェルとして動く事案を挙げています。今回のJavaの脆弱性との関係は書かれていませんが、Javaのアプリケーションサーバーを持つ会社は、覚えのない.warや.jspが置かれていないかを確かめます。
• アカウント：作った覚えのないアカウントや、消したはずのアカウントが有効になっていないかを確かめます（IPA）。

異常が見つかったら、IPAはすぐにセキュリティインシデントと判断して対応を始め、専門のセキュリティ会社に詳しい調査を頼むよう強く勧めています。ログは消さずに残し、IPAの「企業組織向けサイバーセキュリティ相談窓口」やJPCERT/CCにも相談できます。戻すための手順（どの時点のバックアップから戻すか、戻した後に替えるパスワードや鍵）は、WordPressの脆弱性対応｜緊急の更新が出た日に最初にやることの「戻せるかを確かめる」の節にまとめています。Javaのシステムでも、入られた時点より前のバックアップから戻し、Javaを修正版にしてから外につなぎ直します。

AIを使う会社が足すこと

Javaで動く社内のシステムが、AIのサービスのAPIキーやデータベースのパスワードを持っていることがあります。入られた疑いがある時は、こうした鍵を先に無効にする候補に入れます。JPCERT/CCは10月8日の注意喚起で、攻撃の手口の1つに「他のシステムの侵害で窃取したAPIキーを使用する」を挙げ、「不要となった、または漏えいが疑われるAPIトークンは速やかに無効化できるようにする」よう求めています。

AIエージェントがそのシステムにつないでいる連携も、調べ終わるまで止めます。そのシステムがAIのサービスにどのデータを渡したかは、AIのサービス側の利用の記録でも確かめます。IPAも、サービスの提供者と利用者で確かめられるログが違う場合があるとして、誰がいつどう確かめるかを整理するよう求めています。

よくある質問

Q. 会社のパソコンにJavaが入っているか分かりません。どう確かめますか？

A. Windowsなら「プログラムと機能」の一覧で、Macなら java -version と /usr/libexec/java_home -V で確かめます。Homebrewを使っているMacは brew list --versions も見ます。業務アプリに同梱されたJavaは、アプリの提供元の更新で直すものなので、提供元にも確かめます。

Q. Java 8を使い続けています。今回の更新は無料で受け取れますか？

A. Oracleのライセンスの扱いは使い方で変わります。OracleのFAQによると、Java 8の更新は、パソコンでの個人の利用や開発・テストなどでは無償で、個人の利用者はjava.comから更新を受け取れます。業務での利用は、有償の契約（Java SE Universal Subscription）や、Oracle製品の契約に含まれる権利などで扱いが決まるので、契約の内容を確かめてください。

Q. Oracle JDK 21を本番で使っています。21.0.13に上げてもよいですか？

A. 21.0.13はOTNライセンスで出る最初の版です。OTNで無償とされている使い方（個人の利用・開発・テストなど）に、本番での業務の利用は含まれていません（Oracleが承認した製品と使う場合などを除く）。契約を確かめて上げるか、Oracle JDK 25.0.5へ移るか、OpenJDKをもとにしたJavaへ移るかを、更新の前に決めてください。どれを選んでも、修正版にすること自体は急ぎます。

Q. 更新したら、サーバーの再起動は要りますか？

A. 動いているJavaのプログラムは、動かし直すまで古いJavaのままです。Oracleの手引きは、Javaのプロセスをすべて止めてから更新するよう書いています。止めて、入れ替えて、動かし直してから、java -version と業務アプリの動きを確かめます。Windowsでの古い版の削除は、使用中のファイルがある場合にだけOSの再起動が要る、とOracleの手引きにあります。

Q. この脆弱性を狙った攻撃は、もう起きていますか？

A. 10月22日の時点で、Oracleの告知とIPAの注意喚起に、悪用の有無の記載はありません。JPCERT/CCの注意喚起の一覧にも、同日17時の時点でこの件は載っていません。最新の状況は、OracleとIPA・JPCERT/CCの情報で確かめてください。

Q. 次のJavaの更新はいつですか？

A. Oracleの告知に載っている予定では、次は2026年11月17日です。その後は12月15日、2027年1月19日（定例）と続きます。各版のリリースノートは、今回の版を11月17日の更新の後は使い続けないよう勧めています。

まとめ：今日やる3つのこと

1. サーバー・パソコン・コンテナ・業務アプリの同梱分まで、置き場所ごとにJavaの版を確かめる（java -version だけで終えない）。
2. Javaで動くサービスを止めて、修正版（8u511・11.0.33・17.0.21・21.0.13・25.0.5・27.0.1）へ入れ替え、動かし直す。26系は27.0.1か25系へ移す日を決める。
3. Oracle JDK 21・17・11・8を本番で使っているなら、ライセンスの扱いを確かめてから更新の方法を決める。

次に同じような緊急の更新が出た日の動き方は、WordPressの脆弱性対応｜緊急の更新が出た日に最初にやることに5段でまとめています。

AIの時代の攻撃も含めて、自社のシステムにどんな穴がありうるかを一通り点検したい方は、事例集と自社点検シートをまとめた「AIエージェント時代のサイバー攻撃 事例集と自社点検シート」も使ってください。

参考・出典

• Oracle Java の脆弱性対策について(2026年10月) — IPA（2026年10月21日公開・参照日：2026-10-22）
• Oracle Critical Patch Update Advisory – October 2026 — Oracle（Rev 1・2026年10月20日・参照日：2026-10-22）
• JDK 21.0.13 Release Notes — Oracle（2026年10月20日・参照日：2026-10-22）
• JDKのリリースノート（いずれもOracle・2026年10月20日・参照日：2026-10-22）：27.0.1・25.0.5・17.0.21・11.0.33・8u511
• 2026年8月18日の版のリリースノート（Oracle・参照日：2026-10-22）：21.0.12.1・8u503
• Oracle Java SE Licensing FAQ — Oracle（2026年10月20日更新・参照日：2026-10-22）
• Oracle Java SE Support Roadmap — Oracle（2026年10月20日更新・参照日：2026-10-22）
• Critical Patch Updates, Critical Security Patch Updates, Security Alerts and Bulletins — Oracle（参照日：2026-10-22）
• Java Downloads — Oracle（参照日：2026-10-22）
• JDK 27のインストールの手引き（Oracle・参照日：2026-10-22）：Windows・macOS・Linux
• The java Command — Oracle（参照日：2026-10-22）
• java.comのヘルプ（Oracle・参照日：2026-10-22）：Javaのバージョンの確認・Java自動更新・古いバージョンのアンインストール
• OpenJDK Vulnerability Advisory: 2026/10/20 — OpenJDK Vulnerability Group（参照日：2026-10-22）
• Adoptium News — Eclipse Adoptium（参照日：2026-10-22 17:30 JST）
• openjdk@21（Homebrew Formulae） — Homebrew（参照日：2026-10-22 17:47 JST）
• JVN iPedia、MyJVNサービスの一時停止のお知らせ (2026-10-22) — JPCERT/CC（参照日：2026-10-22）
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030） — JPCERT/CC（2026年10月8日公開・9日更新・参照日：2026-10-22）
• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について — IPA（2026年10月9日・参照日：2026-10-22）
• 不正アクセスによる漏えい等の事案を踏まえた対応について — 内閣官房 国家サイバー統括室（2026年10月9日・参照日：2026-10-22）