フォローする Oracleは、Oracle Java SE、Oracle GraalVM for JDK、およびOracle GraalVM Enterprise Editionに影響を及ぼす重大な脆弱性CVE-2026-91403に対応する緊急セキュリティアラートを発行しました。セキュリティ問題はJava Secure Socket Extension (JSSE)コンポーネントに存在し、CVSS v3.1スコアは9.1です。
この脆弱性は、認証なしでリモートから悪用可能です。Oracleによれば、複数のプロトコルを介したネットワークアクセスを持つ攻撃者が、資格情報を提供したりユーザーの操作を必要とせずに、脆弱なJava環境を侵害できるとのことです。成功した場合、重要なデータが露出し、不正アクセスによる情報の修正、作成、削除を許可する可能性があります。
Rapid7はこの欠陥を重要と分類し、CVSSベクトルCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nを確認しています。つまり、この脆弱性の悪用はネットワーク越しに行え、低攻撃複雑性で発生し、特権や犠牲者の操作を必要とせず、高度な機密性と整合性の影響を及ぼす可能性があります。
Javaは企業のウェブサービス、バックエンドアプリケーション、ミドルウェア、API、およびビジネスクリティカルなインフラストラクチャ内に広く展開されているため、潜在的な露出が増加しています。したがって、組織は影響を受けるJavaおよびGraalVMランタイムを特定し、Oracleのセキュリティアラートパッチを優先して適用すべきです。
CVE-2026-91403の検出機会を探しているセキュリティチームは、Javaサービス内での異常なネットワークインタラクション、予期しない証明書やTLS関連の失敗、不審な子プロセス、機微なアプリケーションデータへの異常なアクセスを監視する必要があります。
SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、MITRE ATT&CK®にマッピングされた検出コンテンツで、複数のSIEM、EDR、およびデータレイク環境全体で新たな脆弱性悪用に対してセキュリティチームの防御を強化するのに役立ちます。
クリック 検出を探る 関連するSOCコンテンツとハンティングロジックにアクセスします。CVE-2026-91403および関連する事後悪用行動を検出するためには、Javaアプリケーションのテレメトリ、ネットワークモニタリング、エンドポイントの可視性、およびサービスレベルのログを組み合わせるべきです。
セキュリティチームはまた、新たに出現した脆弱性インテリジェンスをSigmaルールに変換し、ハンティングクエリを生成し、検出ロジックを検証し、サポート対象のセキュリティプラットフォーム全体での検出を翻訳するためにPrime Architectを活用することができます。
CVE-2026-91403解析
CVE-2026-91403は、Javaアプリケーションが安全な通信機能を提供するために使用するJSSEコンポーネントに影響を及ぼします。Oracleはこの欠陥を簡単に悪用可能であると説明し、攻撃が認証なしで複数のプロトコルを経由してリモートから発生する可能性があることを確認しています。
ベンダーは基盤となるプログラミングエラーや完全な悪用シーケンスを公に開示していません。Oracleの脆弱性開示ポリシーは、顧客がパッチを展開している間に武器化を促進する可能性のある技術的詳細を意図的に制限しています。したがって、特定の不正形式パケット、証明書構造、API引数、または悪用プリミティブに関する主張は、Oracleが追加の技術情報を公開しない限り、確認済みとして扱うべきではありません。
CVE-2026-91403は、以下のサポートされているOracleのリリースに影響します：
- Oracle Java SE 8u511および8u511-perf
- Oracle Java SE 11.0.33
- Oracle Java SE 17.0.21
- Oracle Java SE 21.0.13
- Oracle Java SE 25.0.5
- Oracle Java SE 27.0.1
- Oracle GraalVM for JDK 17.0.21
- Oracle GraalVM for JDK 21.0.13
- Oracle GraalVM Enterprise Edition 21.3.20
Oracleは、サポートされていない以前のリリースはテストされていないが、セキュリティアラートで対処された脆弱性を含んでいる可能性が高いとも警告しています。サポートされていないJavaブランチを運用している組織は、その影響を受けないと想定してはいけません。
攻撃面はスタンドアロンのJavaデスクトップアプリケーションよりも広範です。Oracleは、攻撃が脆弱コンポーネントによって公開されたAPIを介して、攻撃者が管理するデータをそれらのAPIに渡すウェブサービスを含む状況で発生する可能性があると特に指摘しています。
ベンダーはまた、この問題が、保護のためにJavaサンドボックスに依存しながら信頼されていないコードを実行するJavaデプロイメントに適用されることを述べています。これには、サンドボックス化されたJava Web StartアプリケーションとJavaアプレットが含まれます。
CVE-2026-91403の詳細は、機密性と整合性に特に深刻な影響を示しています。Oracleは両方の影響を高く評価し、直接的な可用性への影響を割り当てていません。成功した攻撃者は、潜在的に重要なアプリケーションデータへの不正アクセスを得たり、侵害されたJava環境で利用可能な情報の作成、修正、削除を行うことができます。
その識別はインシデント対応において重要です。組織がサービスの停止にのみ焦点を当てるべきではありません。脆弱なサーバーは、機微情報にアクセスされたり、アプリケーションデータが修正される間も正常に動作し続ける可能性があります。
発表時点で、Rapid7 または Oracle は、CVE-2026-91403 の PoC を公開したり、独自に脆弱性を再現するための十分な技術的剖析手順を提供していません。Rapid7 はまた、2026年10月22日の時点でこの問題が CISA の既知の悪用された脆弱性カタログに存在していないとしています。
同様に、初期の情報源では、CVE-2026-91403に特有のキャンペーンに関連する悪意あるIPアドレス、ドメイン、ハッシュ、またはペイロードの署名は公開されていません。これにより、インジケーターベースの狩りの効果は限定され、行動的な可視性がより重要になります。
セキュリティチームは、Javaを対象としたサービスを監視する必要があります：
- JavaアプリケーションまたはWebサービスに到達する予期しないネットワークリクエスト
- 異常なTLSまたはJSSE関連エラー
- 対応する正当な活動なしでのアプリケーションデータの変更
- 予期しない認証または認可の異常
- Javaプロセスが開始する異常なアウトバウンド接続
- Javaアプリケーションによって開始される認識されない子プロセス
- ファイル、構成、またはアプリケーションリソースへの変更
- 異常なデータアクセス直前の不審なAPIリクエスト
完全な悪用メカニズムが未公開であるため、これらの行動はそれ自体で悪用を証明するものではありません。それらは、脆弱性の露出およびアプリケーション固有のテレメトリと組み合わせた場合の調査の起点として役立つべきです。
CVE-2026-91403の軽減策
Oracleは、2026年10月21日に専用のセキュリティアラートを発行し、後のスケジュールされたセキュリティサイクルを待たずに発表しました。管理者は、Oracleのパッチの可用性ドキュメントで参照されているパッチを、運用上可能な限り迅速に適用すべきです。
組織はまずすべてのJavaインストール、商用ソフトウェア、中間製品、アプリケーションサーバー、コンテナ、開発環境、およびサードパーティのアプライアンスと一緒にバンドルされたランタイムを含めてインベントリ化する必要があります。別の製品内に埋め込まれたJavaコンポーネントは、管理者がアプリケーションディレクトリ内に個別のJDKまたはJREが存在することを意識していない可能性があるため、脆弱性管理中にしばしば見過ごされます。
優先順位は次のシステムに与えられるべきです：
- 未信頼のソースからのネットワーク接続を受け入れる
- Javaに対応したWebサービスやAPIを公開する
- 攻撃者が制御する入力を処理する
- 機密のあるビジネスまたは顧客データを管理する
- サポート外のJavaリリースを実行する
- Java Web Startまたはその他のサンドボックス依存のデプロイメントモデルを使用する
Oracleは、Premier SupportまたはExtended Supportでカバーされているバージョンに対してのみセキュリティアラートパッチを提供します。以前のリリースが影響バージョン表に存在しないためといって必ずしも安全ではありません。Oracleは特に、サポート外のデプロイメントをサポートされているバージョンに移行することを推奨しています。なぜなら、古いリリースには同じ脆弱性が含まれている可能性があるからです。
直ちにパッチを適用することができない場合、組織は適切なサービスへのネットワークアクセスを制限し、信頼できるシステムへの通信を制限し、可能な場合はアプリケーションレベルのアクセス制御を適用することで露出を減らすべきです。これらの手順は一時的なリスク軽減手段として扱われ、ベンダーアップデートの代替にはなりません。
セキュリティチームはまた、過去のアプリケーションおよびネットワークログをレビューするべきです。説明できない予期しないデータアクセス、疑わしい修正、異常なJavaネットワーク活動、および正当なビジネス操作で説明できないAPIリクエストを探してください。
疑わしい行動が確認された場合、対応者は：
- 運用可能な場合は、影響を受けたホストを隔離します。
- Javaアプリケーション、ウェブサーバー、エンドポイント、およびネットワークログを保存します。
- 機密アプリケーションデータの整合性を確認します。
- Javaプロセスにアクセス可能な資格情報、シークレット、およびトークンを特定します。
- 潜在的に露出した資格情報を回転します。
- アプリケーションファイルおよび構成への不正な変更を検索します。
- 後続活動の兆候を探してアウトバウンド接続を調べます。
- 同じアプリケーション構成を持つ他のJavaシステムを検証します。
Oracleが特定した主な影響は機密性と整合性であるため、インシデント対応においてはダウンタイムの証拠がない場合でもデータアクセスとデータ変更レビューを含めるべきです。
SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを使用する組織は、パッチが展開されている間に脆弱なJavaサービスを中心とした行動モニタリングを強化し、彼らのセキュリティスタック全体で事後の妥協活動を追跡することができます。
免責事項： 検出コンテンツがすべてのCVEに対して利用可能であるとは限りません。現行のカバレッジについてSOC Primeプラットフォームを確認してください。関連する検出がまだ利用できない場合、新しい脅威インテリジェンスや検出コンテンツが継続的に追加されるため、再度確認してください。
FAQ
CVE-2026-91403とは何であり、どのように機能しますか？
CVE-2026-91403は、Oracle Java SE、Oracle GraalVM for JDK、およびOracle GraalVM Enterprise EditionのJSSEコンポーネントにおける重大な脆弱性です。Oracleは、ネットワークアクセスを持つ認証されていない攻撃者が複数のプロトコルを経由してこの問題を悪用できることを確認しています。脆弱なコンポーネントは、Webサービスが攻撃者によって管理される情報を関連APIに供給する際に間接的にも到達可能です。成功した悪用により、重要なデータが露出し、不正な修正、作成、または削除が可能になります。Oracleは完全な技術的悪用機構を公に開示していません。
CVE-2026-91403はいつ最初に発見されましたか？
正確な発見日は公には公開されていません。CVE識別子は2026年9月14日に予約され、Oracleは2026年10月21日にセキュリティアラートを公にリリースしました。Oracleの勧告は、問題の報告に外部の研究者や組織をクレジットしていません。
CVE-2026-91403がシステムに及ぼす影響は何ですか？
成功した悪用により、重要または完全なアプリケーションデータへの不正アクセスが可能になり、攻撃者は侵害されたJava環境で利用可能な情報の作成、修正、または削除が可能になります。Oracleは、高い機密性と整合性の影響を指定し、直接的な可用性の影響はないと示しています。この欠陥は、CVSS v3.1に基づいて9.1のスコアを獲得し、認証またはユーザーの操作を必要としません。
CVE-2026-91403は2026年にも影響しますか？
はい。影響を受けるOracle Java SEまたはGraalVMリリースを実行しているシステムは、適用可能なセキュリティアップデートがインストールされるまでは露出しています。組織は古いサポート外のJavaリリースも評価するべきです。Oracleはこれらのバージョンはテストされていないが、同様の脆弱性を含んでいる可能性があると述べており、サポートされているソフトウェアへの移行を推奨しています。
CVE-2026-91403からどのように自分を守ることができますか？
Oracleのセキュリティアラートパッチを適用し、ベンダーのパッチ可用性ガイダンスに従って脆弱なJavaおよびGraalVMインストールをアップグレードしてください。サードパーティのアプリケーションに埋め込まれたコピーを含め、環境全体のJavaランタイムをインベントリ化します。インターネットに接続されているサービスや信頼されていないデータを処理するアプリケーションを優先し、即時パッチ適用が不可能な場所ではネットワークの露出を制限し、Javaサービスを監視して疑わしいネットワーク行動や不正なデータアクセスを探します。侵害が疑われる場合、影響を受けたシステムを隔離し、フォレンジックテレメトリを保存し、アプリケーションデータの整合性を確認し、潜在的に露出したシークレットを回転させ、横方向または後続活動の兆候を調査します。
