結論
Oracle Javaの脆弱性対策とは、Oracleが定期的に出すJavaの修正版を入れて、見つかった弱点をふさぐことです。IPA（情報処理推進機構）は2026年10月21日、「攻撃された場合の影響が大きい」として早急な更新を呼びかけました。今回の定例の更新ではJava SEの脆弱性55件が修正されましたが、翌21日には、その修正版にも残る証明書の問題で深刻度9.1の緊急アラートが出ています。これから更新するなら、25.0.5.0.2・21.0.13.0.2などの追加修正版を入れてください。Java 26には修正版が出ないため、25か27への移行が必要です。
Java（ジャバ）は、パソコンやサーバーでプログラムを動かすための仕組みです。会社のパソコンでは、電子入札などの業務システムや、社内ツールを動かすために入っていることがあります。サーバーでは、業務システムやWebアプリの土台として広く使われています。
この記事では、IPAの注意喚起の中身と、その翌日に出たOracleの緊急アラートをあわせて整理し、自社のパソコンやサーバーで何を確認すればよいかを説明します。情報は2026年10月22日9時（日本時間）時点のものです。
IPAの注意喚起の内容
| 項目 | 内容 |
|---|---|
| 掲載日 | 2026年10月21日（IPA「Oracle Java の脆弱性対策について(2026年10月)」） |
| 起きうること | アプリケーションが異常終了する、または攻撃者にパソコンを制御される |
| IPAの呼びかけ | 攻撃された場合の影響が大きいため、早急に更新を適用する |
| 影響を受ける版 | Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503（503-perf） |
| 対策 | Oracleが提供する最新版に更新する |
Oracleは、これらより前の版も影響を受ける可能性が高いとしています。またIPAは、2019年4月16日以降に公開されたOracle Javaはライセンスが変わっているため、会社で使う場合はライセンスを確認し、必要に応じて有償サポートの契約を検討するよう注意しています。
Oracleの10月の定例更新｜Java SEの修正は55件
Oracleは、決まった日に製品の修正版をまとめて公開しています（クリティカルパッチアップデート、略してCPU）。2026年10月20日（米国時間）の更新は、Oracle製品全体で1,209件の脆弱性に対応する大規模なもので、そのうちJava SEは55件でした。55件のうち49件は、ログインなどの認証なしに、ネットワーク越しに悪用できるとされています（Tenable、2026年10月20日）。Javaの次の更新は、2026年11月17日に予定されています。
| 系列 | 定例更新の修正版 | サポートの区分 |
|---|---|---|
| Java 27 | 27.0.1 | 短期サポート（次の版まで） |
| Java 26 | 修正版なし | サポート終了（2026年9月にJava 27へ交代） |
| Java 25 | 25.0.5 | 長期サポート（LTS） |
| Java 21 | 21.0.13 | 長期サポート（LTS） |
| Java 17 | 17.0.21 | 長期サポート（LTS） |
| Java 11 | 11.0.33 | 長期サポート（LTS） |
| Java 8 | 8 Update 511 | 長期サポート（LTS） |
翌日の緊急アラート｜修正版にも残る証明書の問題（CVSS 9.1）
定例更新の翌日、2026年10月21日にOracleは、臨時のセキュリティアラート（CVE-2026-91403）を出しました。対象は、前日に出たばかりの修正版（27.0.1・25.0.5・21.0.13・17.0.21・11.0.33・8u511）です。深刻度はCVSS 3.1で9.1、暗号化通信（TLS）を扱う部品の問題で、認証なしにネットワーク越しに悪用でき、情報の漏えいや改ざんにつながる恐れがあるとされています。
背景にあるのは、インドの認証局eMudhra（イーマドラ）の中間認証局8つの秘密鍵が漏れていた問題です。証明書は、通信の相手が本物かどうかを確かめるための「身分証明書」のようなものです。その発行元の鍵が漏れると、偽のサイトが本物になりすませてしまいます。この問題を追跡するサイトによると、ブラウザ各社は10月17日〜20日に該当の証明書を無効にしており、JavaやNode.jsも同じ問題に対応する更新を出しています。
| 系列 | 緊急アラート後の修正版（10月22日朝時点） | 入手先 |
|---|---|---|
| Java 27 | 27.0.1.0.2 | Oracleのダウンロードページ |
| Java 25 | 25.0.5.0.2 | Oracleのダウンロードページ |
| Java 21 | 21.0.13.0.2 | Oracleのダウンロードページ |
| Java 17・11 | 17.0.21.0.2・11.0.33.0.2 | Oracleの案内（ダウンロードページまたはサポート窓口） |
| Java 8 | 8 Update 511（配布中の最新版） | java.com・Oracleの案内 |
27・25・21の番号はOracleのダウンロードページで、17と11は上記の追跡サイトで確認しました。すぐに更新できない場合について、Oracleは、問題の証明書を手動でブロックする方法と、証明書の失効を確認する設定を有効にする方法を案内しています（Oracle「Distrusting eMudhra Intermediate Certificates in Oracle JDK」）。どちらもサーバー管理者向けの手順なので、社内に担当者がいない場合は、システムを任せている会社に相談してください。
自社で確認する3つの手順
手順1：Javaが入っているかを調べる
Windowsのパソコンでは、「設定」→「アプリ」→「インストールされているアプリ」で「Java」と検索します。コマンドプロンプトでjava -versionと入力しても、入っている版が分かります。IPAは、パソコンに入っているソフトの版をまとめて確認できる無料のツール「MyJVN バージョンチェッカ for .NET」も案内しています。
手順2：使っていなければ削除する
過去に何かのために入れて、いまは使っていないJavaは、削除するのがいちばん確実な対策です。どの業務で使っているか分からない場合は、削除する前に、業務システムの提供元や社内の担当者に確認してください。
手順3：使っていれば最新版に更新する
- パソコンのJava 8（JRE）：Javaのコントロールパネルの「更新」タブ、またはjava.comから最新版を入れる
- 開発やサーバーで使うJDK：上の表の追加修正版（25.0.5.0.2など）に更新し、Javaで動くアプリを再起動する
- 業務システムが特定の版を指定している場合：勝手に上げず、システムの提供元に対応版を確認する
- Java 26を使っている場合：修正版が出ないため、長期サポートの25か、27に移行する
なお、Oracle以外が配布しているJava（OpenJDKをもとにしたEclipse Temurin・Amazon Correttoなど）を使っている場合は、それぞれの配布元の更新を確認してください。2026年10月22日9時（日本時間）時点では、主な配布元のお知らせに10月の更新の公開は見当たりませんでした。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
同じ週に重なったPHP・Node.jsの更新
2026年10月21日前後には、Javaのほかにも、Webで広く使われる仕組みの重要な更新が重なりました。
| 仕組み | 内容 | 主に影響するもの |
|---|---|---|
| PHP | 重大な脆弱性2件（CVSS 9.2）の修正版を公開 | WordPressなどのWebサイト |
| Node.js | 脆弱性10件の修正。eMudhraの証明書への対応も含む | Next.jsのサイト、API、開発環境 |
| Oracle Java | 定例の55件に加え、eMudhraの証明書の問題で緊急アラート | 業務システム、パソコンのJava |
会社のWebサイトと業務システムで、使っている仕組みが違うことはよくあります。今回をきっかけに、どのシステムが何で動いていて、誰が更新を受け持っているかを一覧にしておくと、次に同じことが起きたときに慌てずに済みます。外部への任せ方はWeb担当者がいない会社の外注ガイドも参考にしてください。
いま確認すべきこと
- 会社のパソコンとサーバーに、Javaが入っているかを調べた
- 使っていないJavaは、確認のうえ削除した
- 使っているJavaは、追加修正版（25.0.5.0.2・21.0.13.0.2など）か、Java 8の最新版に更新した
- Java 26を使っているものは、25か27へ移す日程を決めた
- 業務システムが特定の版を指定している場合は、提供元に対応を問い合わせた
- 会社でOracle Javaを使っている場合は、ライセンスと契約の状況を確認した
よくある質問
Javaを入れた覚えがありません。対応は必要ですか？
パソコンを買ったときや、ほかのソフトと一緒に入っていることがあります。まず「設定」→「アプリ」で「Java」が入っているかを確認してください。入っていなければ、パソコン側の対応は不要です。
ブラウザでWebサイトを見るだけでも危険ですか？
いまの主要なブラウザはJavaを動かさないため、Webサイトを見るだけでJavaが動くことはほとんどありません。ただし、パソコンに入っているJavaを使う業務システムやツールがある場合は、更新が必要です。
10月21日に更新したばかりです。もう一度更新が必要ですか？
前日に出た修正版（27.0.1・25.0.5・21.0.13など）は、10月21日の緊急アラートの対象です。27.0.1.0.2・25.0.5.0.2・21.0.13.0.2などの追加修正版への更新が必要です。
Oracle Javaは無料で使えますか？
IPAは、2019年4月16日以降に公開されたOracle Javaはライセンスが変わっていると注意しています。会社で使う場合は、Oracleのライセンス条件を確認し、必要に応じて有償サポートの契約か、他社が配布するJavaへの切り替えを検討してください。
悪用はすでに確認されていますか？
2026年10月22日9時（日本時間）時点で、IPAとOracleの発表に、実際に悪用されたという記載はありません。ただし、eMudhraの件は鍵が漏れた期間に悪用されたかどうかが分かっていないとされています。早めの更新をおすすめします。
出典
- IPA「Oracle Java の脆弱性対策について(2026年10月)」（2026年10月21日）
https://www.ipa.go.jp/security/security-alert/2026/1021-jre.html - Oracle「Critical Patch Update Advisory – October 2026」
https://www.oracle.com/security-alerts/cpuoct2026.html - Oracle「Security Alert Advisory – CVE-2026-91403」（2026年10月21日）
https://www.oracle.com/security-alerts/alert-cve-2026-91403.html - Oracle「Java Downloads」（2026年10月22日確認）
https://www.oracle.com/java/technologies/downloads/ - Oracle「Distrusting eMudhra Intermediate Certificates in Oracle JDK」（2026年10月21日更新）
https://ops.java/emudhra - Oracle「JDK 8u511 Release Notes」（2026年10月20日）
https://www.oracle.com/java/technologies/javase/8u511-relnotes.html - Tenable「Oracle October 2026 Critical Patch Update Addresses 1,209 CVEs」（2026年10月20日）
https://www.tenable.com/blog/oracle-october-2026-critical-patch-update-addresses-1209-cves - 「eMudhra Intermediate CA Compromise」（有志による追跡サイト、2026年10月）
https://emudhra.we-have-a-problem.com/ - IPA「MyJVN バージョンチェッカ for .NET」
https://jvndb.jvn.jp/apis/myjvn/vccheckdotnet.html
※本記事は2026年10月22日9時（日本時間）時点の公開情報にもとづいています。修正版の番号や配布状況は今後変わる可能性があります。最新の情報はIPAとOracleの発表でご確認ください。
あわせて読みたい
サイト・システムの保守のご相談
「何が何で動いているか分からない」
からでもご相談ください
株式会社仁頼は、Webサイトの制作・改善と、検索・AI検索からの集客を支援しています。使っている仕組みの洗い出しや、更新の進め方からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
