ニュース約7分で読めます

Oracle定例更新で1295件修正 JDK 21は今回からライセンスが変わる

Oracleが2026年10月の定例セキュリティ更新(CPU)で1,295件の修正を出しました。Java SE、MySQL、VirtualBox、WebLogic、E-Business Suiteなどが対象です。Oracle JDK 21は今回の21.0.13からライセンスが変わり、無償で使える範囲が狭くなります。情シスが確かめる版と順番を整理します。

公開 2026年10月21日 09:10情シスのミカタ編集部AIにより執筆チェック済み

文字

この記事のまとめ

Oracleは米国時間2026年10月20日、四半期ごとの定例セキュリティ更新(CPU)で1,295件の修正を出しました。認証なしでネットワーク越しに悪用できるものが590件、CVSS 9.0以上が112件あります(当社集計)。
Java SEは55件で、更新後の版は27.0.1・25.0.5・21.0.13・17.0.21・11.0.33・8u511です。Oracle JDK 21は21.0.13から、無償で使える範囲が狭いライセンスに変わりました。
特定の脆弱性が悪用されているという記載はありません。外から届くWebLogic・E-Business Suite・Access Managerなどを先に、社内のJava・MySQL・VirtualBoxを続けて更新します。

こんな方に#20代 #30代 #40代 #50代 #60代実務

テーマ#Oracle #Java #脆弱性 #パッチ管理 #ライセンス

目次ひらく

11,295件の内訳
2外から届くサーバー製品は、10.0と9.8が並ぶ
3Java SE: 55件、更新後の版と、JDK 21のライセンス
4MySQLとVirtualBox
5次の修正の予定
6影響する会社・しない会社
7情シスが今日やること

米Oracleは米国時間2026年10月20日(日本時間21日)、四半期ごとの定例セキュリティ更新「Critical Patch Update(CPU)」を出しました。新しい修正は1,295件で、Java SE、MySQL、VirtualBox、WebLogic Server、E-Business Suiteなど、社内でよく使う製品が並びます。あわせて、Oracle JDK 21の更新版は今回から、無償で使える範囲が狭いライセンスでの提供に変わりました。修正の適用と、ライセンスの確認の、両方が必要です。

1,295件の内訳

Oracleのアドバイザリは、製品のまとまり(ファミリー)ごとに件数を示しています。件数の多いものと、社内で使うことが多いものを抜き出しました。認証なしの件数は、ネットワーク越しに、ログインせずに悪用できるとされたものです。

製品のまとまり	修正	うち認証なしで悪用できる	最も高いCVSS
Fusion Middleware(WebLogic Server、Access Managerなど)	206件	134件	10.0
E-Business Suite	194件	31件	10.0
Database製品(Database Server、Essbaseなど)	126件	41件	9.9
Siebel CRM	122件	66件	9.9
Communications	110件	77件	9.8
PeopleSoft	109件	41件	9.8
JD Edwards	102件	44件	10.0
MySQL	98件	29件	9.8
Java SE	55件	49件	7.5
Virtualization(VirtualBox)	6件	0件	8.4

表の全体を当社で数えると、認証なしで悪用できるものは590件、CVSS 9.0以上は112件、10.0は6件でした。同じCVEが複数の製品に出てくるため、CVE番号で数えると1,209件です。

Oracle Critical Patch Update Advisory - October 2026の冒頭。すでに修正を出した脆弱性を悪用する試みの報告を受け続けており、修正を当てていなかった顧客で攻撃が成功した例もあるため、サポート中の版を使い修正を遅れずに当てるよう強く勧めると書く。続けて、今回のCritical Patch Updateには1295件の新しいセキュリティの修正が含まれると書く — OracleのCPUのアドバイザリの冒頭。修正を遅れずに当てるよう強く勧め、今回の修正が1,295件だと書く出典: Oracle「Critical Patch Update Advisory - October 2026」(引用)

特定の脆弱性が悪用されているという記載は、アドバイザリにはありません。それでもOracleは冒頭で、すでに修正を出した脆弱性を狙う攻撃の報告を受け続けており、修正を当てていなかった顧客が被害にあった例もあると書き、サポート中の版を使い、修正を遅れずに当てるよう強く勧めています。

外から届くサーバー製品は、10.0と9.8が並ぶ

点数が高いのは、インターネットや社内のネットワークに口を開けて動くサーバー製品です。

WebLogic Server: 11件。CVE-2026-91323(HTTP)とCVE-2026-83399(T3・IIOP)は、認証なしで悪用でき、CVSSは9.8です。対象は12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0です。
Access Manager: CVE-2026-87337(認証の仕組み)は認証なしで、CVSSは10.0です。対象は12.2.1.4.0と14.1.2.1.0です。同じFusion MiddlewareのSOA Suiteにも、10.0が3件あります。
E-Business Suite: CVE-2026-101809(ワークフローの通知メールの機能)は認証なしで、CVSSは10.0です。CVE-2026-101767(共通の基盤)も認証なしで9.8です。対象は12.2.3〜12.2.15です。
Database Server: 14件で、最も高いのはCVE-2026-75803の9.8です。中に組み込まれたOpenSSLの脆弱性で、TLSの接続を通じて、認証なしで悪用できるとされています。対象は19.3〜19.32と、23.4.0〜23.26.3です。

E-Business SuiteとWebLogic Serverは、過去にも攻撃に使われたことがある製品です。外から届く場所に置いているなら、今回の修正を最初に当てます(当社の見立て)。

Java SE: 55件、更新後の版と、JDK 21のライセンス

Java SEの修正は55件で、うち49件は認証なしでネットワーク越しに悪用できるとされています。CVSSは最も高いもので7.5です。Oracleが示す、更新後の版は次のとおりです。

系列	更新後の版
Java 27	27.0.1(Java 27の初めての更新)
Java 25	25.0.5
Java 21	21.0.13
Java 17	17.0.21
Java 11	11.0.33
Java 8	8u511

Oracle JDK 21は、今回の21.0.13から、ライセンスが「Oracle Technology Network License Agreement for Oracle Java SE(OTN)」に変わりました。これまでの21の更新版は、商用の本番でも無償で使える「Oracle No-Fee Terms and Conditions(NFTC)」でした。OTNは、個人の利用や開発での利用は無償ですが、NFTCで認められていた使い方の一部はできなくなるとOracleは書いています。

Java SE Development Kit 21.0.13のリリースノートの「Important Oracle JDK 21 License Update starting with JDK 21.0.13」。JDK 21.0.13はOracle Technology Network License Agreement for Oracle Java SE(OTN)で提供する最初のJDK 21の更新版で、これまでのOracle No-fee Terms and Conditions(NFTC)とは大きく異なり、個人の利用や開発の利用は無償だが、NFTCで認められていたほかの使い方はできなくなる場合があると書く — JDK 21.0.13のリリースノート。21の更新版で初めてOTNのライセンスで提供すると書く出典: Oracle「Java SE Development Kit 21, 21.0.13 Release Notes」(引用)

Oracleのサポートの予定表によると、Oracle JDK 17はすでに2024年10月の更新版からOTNです。無償のライセンスで使い続けたい人は、Oracle JDK 25以降に移るよう案内しています。Oracle JDK 25の更新版は、2028年9月より後に出るものからOTNに変わる予定です。

つまり、社内の業務システムや、配った端末でOracle JDK 21を本番に使っている場合、21.0.13に上げると、ライセンスの条件が変わります。上げないと、脆弱性が残ります。どちらを選ぶかは、情シスだけでなく、契約の担当と一緒に決める話です。

MySQLとVirtualBox

MySQL: 98件で、うち29件は認証なしで悪用できます。9.8の2件は、MySQL Serverと、バックアップの道具のMySQL Enterprise Backupに組み込まれた、curl(CVE-2026-9547)とOpenSSL(CVE-2025-15467)の脆弱性です。MySQL Serverの対象は8.4.0〜8.4.12、9.7.0〜9.7.3、26.7.0〜26.7.1です。
VirtualBox: 6件で、認証なしでネットワーク越しに悪用できるものはありません。最も高いのは8.4です。6件とも、悪用には何らかの権限が要る型です。修正版の7.2.22は10月20日に出ています。

次の修正の予定

Oracleは、セキュリティの修正を毎月第3火曜(米国時間)に出すとしています。今回は四半期ごとのCPUで、次の4回は次のとおりです。

2026年11月17日: CSPU(月ごとの修正)
2026年12月15日: CSPU
2027年1月19日: CPU(四半期ごとの定例)
2027年2月16日: CSPU

日本時間では、それぞれの翌日の朝になります。今年のCPUは今回が最後ですが、11月と12月にも修正は出ます。

影響する会社・しない会社

影響する: Oracle JDKやJavaで動く業務アプリを使う会社です。社内の端末やサーバーに、Oracle JDK 21が入っている会社は、修正とライセンスの両方を確かめます。
影響する: WebLogic Server、Access Manager、E-Business Suite、Database、MySQLを自社で動かす会社と、それらを使うシステムを外部に任せている会社です。
影響する: 開発や検証の端末でVirtualBoxを使っている会社です。
影響しない: Oracleの製品を使っていない会社です。ただし、パッケージソフトや機器の中にJavaやMySQLが入っていることがあり、使っていないつもりでも入っていることがあります。

情シスが今日やること

外から届くOracle製品を先に洗い出す。 WebLogic Server、Access Manager、E-Business Suiteが、インターネットや取引先から届く場所にないかを確かめ、あれば今回の修正の予定を最初に組みます。外部に保守を任せているなら、保守会社に適用の日程を問い合わせます。
Javaの版と配布元を数える。 資産管理の道具で、端末とサーバーに入っているJavaの版と、Oracle JDKか、それ以外の配布元かを分けて数えます。上の表の版より古いものは更新の対象です。
Oracle JDK 21の本番利用を、契約の担当と決める。 本番で使っている場合は、21.0.13のライセンス(OTN)の条件を読み、Oracleの契約を結ぶか、無償で使えるOracle JDK 25以降に移るか、別の配布元のJDKに替えるかを決めます。決まるまでの間、更新をしないまま放っておかないようにします(当社の見立て)。
MySQLとVirtualBoxの版を確かめる。 MySQL Serverは対象の版より新しい版へ、VirtualBoxは7.2.22へ上げます。MySQL Enterprise Backupを使っている場合も、同じく上げます。
11月17日の修正も予定に入れる。 次は日本時間11月18日の朝に、月ごとの修正(CSPU)が出ます。Oracleの修正が毎月出る前提で、確認の担当と時間を決めておきます。

よくある質問

Q今回の修正で、悪用が確認されているものはありますか。

AOracleのアドバイザリには、特定の脆弱性が悪用されているという記載はありません。ただしOracleは、すでに修正を出した脆弱性を狙う攻撃の報告を受け続けており、修正を当てていなかった顧客が被害にあった例もあるとして、すぐに当てるよう強く勧めています。米CISAの悪用が確認された脆弱性の一覧(KEV)にも、10月21日朝の時点で今回のCVEは載っていません(当社調べ)。

QOracle JDK 21を会社で使い続けても大丈夫ですか。

A21.0.13からは、Oracle Technology Network License Agreement for Oracle Java SE(OTN)での提供です。個人の利用や開発での利用は無償のままですが、これまでの無償のライセンス(NFTC)で認められていた使い方の一部はできなくなるとOracleは書いています。本番で使っている場合は、条件を読み、契約を結ぶか、無償で使えるOracle JDK 25以降に移るかを決める必要があります。