フォローする Oracleは、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionに影響を与える重大な脆弱性CVE-2026-91403に対処したオフラインのセキュリティアラートを発行しました。このセキュリティ問題はJava Secure Socket Extension (JSSE) コンポーネントにあり、CVSS v3.1スコアは9.1です。
この脆弱性は認証なしでリモートで悪用可能です。Oracleによれば、複数のプロトコルを介してネットワークアクセスを持つ攻撃者は、資格情報を提供したりユーザーとのやり取りを必要とせずに、脆弱なJava環境を侵害することができます。成功した攻撃は重要なデータを露出し、不正な情報の改変、作成または削除を可能にします。
Rapid7はこの欠陥を重大と分類し、CVSSベクトルCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nを確認しています。これは、ネットワーク越しに攻撃が発生し、攻撃複雑度が低く、特権や被害者の関与を必要とせず、高い機密性と整合性の影響を持つ可能性があることを意味します。
企業のWebサービス、バックエンドアプリケーション、ミドルウェア、API、ビジネスクリティカルなインフラストラクチャ全体にJavaが広く展開されているため、潜在的な露出が増加しています。したがって、組織は影響を受けるJavaとGraalVMランタイムを特定し、Oracleのセキュリティアラートパッチを優先順位づけて適用する必要があります。
CVE-2026-91403の検出機会を探しているセキュリティチームは、Javaサービスの異常なネットワークインタラクション、予期しない証明書またはTLS関連の失敗、疑わしい子プロセス、機密アプリケーションデータへの不審なアクセスを監視する必要があります。
SOC PrimeのAIネイティブな検出インテリジェンスプラットフォームは、MITRE ATT&CK®にマッピングされた検出コンテンツを使用して、複数のSIEM、EDR、およびデータレイク環境で、新たな脆弱性の悪用に対する防御を強化するのに役立ちます。
クリック 検出を探索する 関連するSOCコンテンツとハンティングロジックにアクセスします。CVE-2026-91403および関連するポストエクスプロイト行動を検出するには、防御者はJavaアプリケーションのテレメトリ、ネットワーク監視、エンドポイントの可視性、およびサービスレベルのログを組み合わせるべきです。
セキュリティチームはまた、Prime Architectを活用して、新たな脆弱性インテリジェンスをSigmaルールに変換し、ハンティングクエリを生成し、検出ロジックを検証し、サポートされているセキュリティプラットフォーム全体で検出を翻訳することができます。
CVE-2026-91403解析
CVE-2026-91403は、Javaアプリケーションが安全な通信機能を提供するために使用するJSSEコンポーネントに影響を与えます。Oracleはこの欠陥を簡単に悪用可能と記述し、攻撃は認証なしで複数のプロトコルを介してリモートから開始される可能性があることを確認しています。
ベンダーは、根本的なプログラミングエラーや完全な悪用シーケンスを公に開示していません。Oracleの脆弱性開示ポリシーは、顧客がパッチを展開する間、技術的詳細が武器化を助長することを意図的に制限しているため、特定の不正パケット、証明書構造、API引数、または悪用プリミティブに関する主張は、Oracleが追加の技術情報を公表しない限り、確認されたものとは見なされるべきではありません。
CVE-2026-91403は次のサポート対象のOracleリリースに影響を与えます：
- Oracle Java SE 8u511および8u511-perf
- Oracle Java SE 11.0.33
- Oracle Java SE 17.0.21
- Oracle Java SE 21.0.13
- Oracle Java SE 25.0.5
- Oracle Java SE 27.0.1
- Oracle GraalVM for JDK 17.0.21
- Oracle GraalVM for JDK 21.0.13
- Oracle GraalVM Enterprise Edition 21.3.20
Oracleは、サポートされていない以前のリリースがテストされてないが、セキュリティアラートによって対処された脆弱性を含んでいる可能性が高いと警告しています。未サポートのJavaブランチを引き続き運用している組織は、その影響を受けないと仮定すべきではありません。
攻撃対象の範囲は、スタンドアロンのJavaデスクトップアプリケーションよりも広範です。Oracleは、攻撃が脆弱なコンポーネントによって公開されたAPIを介して発生する可能性があることを特に指摘しています。そこでは、Webサービスが攻撃者制御のデータをこれらのAPIに渡す状況が含まれます。
ベンダーはまた、この問題がJavaのサンドボックスに依存した保護を行う信頼されていないコードを実行するJavaデプロイメント（サンドボックスされたJava Web StartアプリケーションやJavaアプレットを含む）に適用されると述べています。
CVE-2026-91403の詳細は、特に深刻な機密性と整合性の影響を示しています。Oracleは両方の影響を高いと評価し、直接の可用性への影響はないとしています。成功した攻撃者は、重要なアプリケーションデータに不正アクセスしたり、Java環境で利用可能な情報を改変、作成、削除する可能性があります。
その区別はインシデントレスポンスにおいて重要です。組織はサービスの中断だけに注力すべきではありません。脆弱なサーバーは、機密情報にアクセスしたりアプリケーションデータが改変される間も通常どおりに動作し続ける可能性があります。
公開時点では、Rapid7もOracleもCVE-2026-91403の公開されたPoCや独立して脆弱性を再現するための十分な技術的悪用指示を提供していません。Rapid7はまた、問題が2026年10月22日現在、CISAの既知の悪用脆弱性カタログに存在しないとしています。
同様に、悪意のあるIPアドレス、ドメイン、ハッシュ、ペイロードの署名など、キャンペーン固有のCVE-2026-91403のIOCも主要な情報源で公開されていません。これは純粋に指標に基づくハンティングの効果を制限し、行動の可視性をより重要にします。
セキュリティチームはJavaに直面するサービスを監視する必要があります：
- JavaアプリケーションやWebサービスに到達する予期しないネットワーク要求
- 異常なTLSまたはJSSE関連のエラー
- 対応する正当な活動なしでのアプリケーションデータの変更
- 予期しない認証または認可の異常
- Javaプロセスによって開始された異常な外向き接続
- Javaアプリケーションによって起動された未認識の子プロセス
- ファイル、設定またはアプリケーションリソースの変更
- 異常なデータアクセスに先立つ疑わしいAPI要求
完全な悪用のメカニズムが公表されていないため、これらの行動はそれ自体で悪用を証明するものではありません。代わりに、脆弱性の露出とアプリケーション固有のテレメトリと組み合わせて調査のピボットとして使用されるべきです。
CVE-2026-91403の緩和策
Oracleは、後の予定されたセキュリティサイクルを待たずに、2026年10月21日に専用のセキュリティアラートをリリースしました。管理者は、Oracleのパッチ可用性ドキュメントで参照されているパッチをできるだけ早く適用する必要があります。
組織はまず、商用ソフトウェア、ミドルウェア製品、アプリケーションサーバー、コンテナ、開発環境、サードパーティのアプライアンスと一緒にバンドルされているランタイムを含むすべてのJavaインストールをインベントリすべきです。別の製品内に埋め込まれたJavaコンポーネントは、アプリケーションディレクトリ内に独立したJDKまたはJREが存在することを管理者が認識していないため、脆弱性管理中に見落とされがちです。
優先順位を付けるべきシステムは：
- 信頼されていないソースからのネットワーク接続を受け入れる
- Java対応のWebサービスまたはAPIを公開する
- 攻撃者制御の入力を処理する
- 機密ビジネスまたは顧客データを処理する
- 未サポートのJavaリリースを実行する
- Java Web Startまたは他のサンドボックス依存のデプロイメントモデルを使用する
Oracleは、Premier SupportまたはExtended Supportの対象となるバージョンにのみセキュリティアラートパッチを提供しています。以前のリリースは影響を受けていないからといって必ずしも安全なわけではありません。Oracleは、不支持されたデプロイをサポートされているバージョンに移行することを明示的に推奨しています。なぜなら古いリリースもまた脆弱性を含んでいる可能性があるからです。
すぐにパッチを適用できない場合、組織は影響を受けるサービスへのネットワークアクセスを制限し、信頼されたシステムへの通信のみに限定し、可能な場合はアプリケーションレベルのアクセス制御を適用することで露出を減らすべきです。これらのステップは、一時的なリスク削減対策として扱われるべきであり、ベンダーの更新の代替としてではありません。
セキュリティチームはまた、アプリケーションとネットワークログを遡って確認すべきです。機密データへの予期しないアクセス、疑わしい改ざん、異常なJavaネットワーク活動、および正当なビジネス活動では説明できない不審なAPI要求に注意してください。
疑わしい行動が確認された場合、レスポンダーは以下を行うべきです：
- 操作可能な場合、影響を受けたホストを隔離する。
- Javaアプリケーション、Webサーバー、エンドポイント、およびネットワークログを保持する。
- 機密アプリケーションデータの完全性を確認する。
- Javaプロセスにアクセス可能な認証情報、シークレット、トークンを特定する。
- 潜在的に露出した認証情報を回転させる。
- アプリケーションファイルと設定に対する不正な変更を検索する。
- フォローオン活動の兆候を探すために外向き接続を精査する。
- 同じアプリケーション構成を持つ他のJavaシステムを検証する。
Oracleによって特定された主要な影響は機密性と整合性にあるため、インシデントレスポンスには、ダウンタイムの証拠がない場合でも、データアクセスとデータ改造のレビューが含まれているべきです。
SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを使用している組織は、パッチが展開される間に脆弱なJavaサービス周辺の行動監視を強化し、セキュリティスタック全体での後続の妥協活動を引き続き探し出すことができます。
免責事項： すべてのCVEに対して検出コンテンツが利用可能とは限りません。現在のカバレッジのためにSOC Primeプラットフォームを確認してください。関連する検出がまだ利用可能でない場合は、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されているため、再度確認してください。
FAQ
CVE-2026-91403とは何か、それはどのように機能するのか？
CVE-2026-91403は、Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise EditionのJSSEコンポーネントにおける重大な脆弱性です。Oracleは、ネットワークアクセスのある認証されていない攻撃者が複数のプロトコルを介して問題を悪用できることを確認しています。脆弱なコンポーネントは、攻撃者制御の情報を関連するAPIに供給するウェブサービスによって間接的に到達可能でもあります。成功した悪用は重要なデータを露出し、影響を受けたJava環境を通じて情報の不正な改変、作成、削除を許可します。Oracleは完全な技術的悪用メカニズムを公に開示していません。
CVE-2026-91403はいつ初めて発見されたか？
正確な発見日は公には公開されていません。CVE識別子は2026年9月14日に予約され、Oracleは2026年10月21日にセキュリティアラートを公開しました。Oracleのアドバイザリーには、問題を報告した外部研究者または組織へのクレジットがありません。
CVE-2026-91403がシステムに与える影響は何か？
成功した悪用は、重要または完全なアプリケーションデータへの不正なアクセスを招き、影響を受けたJava環境を通じて情報を作成、修正、削除することを可能にします。Oracleは、機密性と整合性の影響を高く評価し、直接の可用性の影響はないとしています。この欠陥はCVSS v3.1で9.1に評価され、認証もユーザーの動作も必要としません。
2026年にCVE-2026-91403の影響を受け続けるか？
はい。影響を受けるOracle Java SEまたはGraalVMのリリースを実行しているシステムは、適用可能なセキュリティアップデートがインストールされるまで、引き続き露出します。組織は古いサポートされていないJavaリリースも評価すべきです。Oracleは、これらのバージョンがテストされていないが、同じ脆弱性を含んでいる可能性があると述べており、サポートされているソフトウェアへの移行を推奨しています。
CVE-2026-91403から何をして自分を守ることができるか？
Oracleのセキュリティアラートパッチを適用し、ベンダーのパッチ可用性ガイダンスに従って脆弱なJavaとGraalVMインストールをアップグレードする。環境全体でJavaランタイムをインベントリし、サードパーティのアプリケーションに埋め込まれたコピーを含む。インターネットに面したサービスおよび信頼されていないデータを処理するアプリケーションを優先し、即時パッチが不可能な場合はネットワーク露出を制限し、Javaサービスの怪しいネットワーク行動と機密データへの不正アクセスを監視する。妥協が疑われる場合は、影響を受けるシステムを隔離し、フォレンジックテレメトリを保持し、アプリケーションデータの整合性を確認し、潜在的に露出したシークレットを回転させ、側方移動や追随活動の兆候を調査する。
