Oracle Security Alert Advisory – CVE-2026-91403 (eMudhra証明書失効)
Oracle Security Alert Advisory – CVE-2026-91403 (eMudhra cert revocation) (oracle.com)
要約
Oracleは、CVE-2026-91403として識別されるセキュリティ脆弱性に関するアラートを発行しました。この脆弱性は、Oracle GraalVM Enterprise Edition、Oracle GraalVM for JDK、およびOracle Java SEの特定のバージョンに影響します。この脆弱性は、認証なしでリモートから悪用可能であり、JSSEコンポーネントに関連しています。Oracleは、Premier SupportまたはExtended Supportの対象となっている製品バージョンに対してパッチを提供しており、顧客にはサポートされているバージョンへのアップグレードを推奨しています。
全文翻訳
Oracle Security Alert Advisory - CVE-2026-91403
説明
対象製品とパッチ情報
このセキュリティアラートで対処されるセキュリティ脆弱性は、以下にリストされている製品に影響します。
パッチ提供状況については、以下の「パッチ提供ドキュメント」列のリンクをクリックして、ドキュメントにアクセスしてください。
セキュリティアラート対応製品とバージョン
セキュリティアラートプログラムを通じてリリースされるパッチは、Lifetime Support PolicyのPremier SupportまたはExtended Supportフェーズの対象となっている製品バージョンに対してのみ提供されます。Oracleは、お客様が製品のアップグレードを計画し、セキュリティアラートプログラムを通じてリリースされるパッチが現在実行しているバージョンで利用可能であることを確認することを推奨します。
Premier SupportまたはExtended Supportの対象となっていない製品リリースは、このセキュリティアラートで対処される脆弱性の存在についてテストされていません。ただし、影響を受けるリリースの以前のバージョンもこれらの脆弱性の影響を受ける可能性が高いです。その結果、Oracleは、お客様がサポートされているバージョンにアップグレードすることを推奨します。
参照
- Oracle Critical Patch Updates, Critical Security Patch Updates, Security Alerts and Bulletins
- Oracle Critical Patch Updates, Critical Security Patch Updates and Security Alerts - Frequently Asked Questions
- Risk Matrix Definitions
- Use of Common Vulnerability Scoring System (CVSS) by Oracle
- English text version of the risk matrices
- CSAF JSON version of the risk matrices
- Map of CVE to Advisory/Alert
- Oracle Lifetime Support Policy
- JEP 290 Reference Blocklist Filter
リスクマトリックスコンテンツ
リスクマトリックスには、このアドバイザリに関連するパッチによって新しく対処されるセキュリティ脆弱性のみがリストされます。以前のセキュリティパッチのリスクマトリックスは、以前のCritical Patch Update advisories, Critical Security Patch Update advisories and Alertsで見つけることができます。このドキュメントで提供されているリスクマトリックスの英語テキスト版はこちらにあります。
セキュリティ脆弱性は、CVSSバージョン3.1を使用してスコアリングされます（OracleがCVSSバージョン3.1をどのように適用するかについては、Oracle CVSS Scoringを参照してください）。
Oracleは、セキュリティアラートによって対処される各セキュリティ脆弱性の分析を実施します。Oracleは、このセキュリティ分析の詳細をお客様に開示しませんが、結果として得られるリスクマトリックスおよび関連ドキュメントには、脆弱性を悪用するために必要な条件と、悪用に成功した場合の影響に関する情報が含まれています。Oracleは、お客様が製品の使用状況の particulars に基づいて独自の分析を実施できるように、この情報を提供します。詳細については、Oracle vulnerability disclosure policiesを参照してください。
Oracle製品への組み込みの文脈で悪用不可能と判断されたサードパーティコンポーネントの脆弱性は、VEX（VEX）の正当化とともに、対応するOracle製品のリスクマトリックスの下にリストされます。
リスクマトリックスのプロトコルは、そのすべてのセキュアなバリアントも影響を受けることを意味します。たとえば、HTTPが影響を受けるプロトコルとしてリストされている場合、HTTPSも影響を受けることを意味します。プロトコルのセキュアなバリアントは、影響を受けるのが 唯一 のバリアントである場合にのみリスクマトリックスにリストされます。
クレジットステートメント
このセキュリティアラートで対処されるセキュリティ脆弱性をOracleに報告した個人または組織：このセキュリティアラートではクレジットされている人はいません。
変更履歴
| 日付 | メモ |
|---|---|
| 2026-October-21 | Rev 1. Initial Release. |
Oracle Java SE リスクマトリックス
このセキュリティアラートには、Oracle Java SEの新しいセキュリティパッチが1件含まれています。この脆弱性は、認証なしでリモートから悪用可能であり、ネットワーク経由でユーザー認証情報を必要とせずに悪用される可能性があります。このリスクマトリックスの英語テキスト形式はこちらにあります。
| CVE ID | 製品 | コンポーネント | プロトコル | リモート悪用<br>認証なし？ | CVSS バージョン 3.1 リスク（リスクマトリックス定義を参照）<br>ベーススコア | アタックベクター | アタック複雑性 | 権限<br>必要 | ユーザー<br>インタラクション | スコープ | 機密性<br>（Confidentiality） | 整合性<br>（Integrity） | 可用性<br>（Availability） | サポートされているバージョン<br>（影響を受ける） | メモ |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| CVE-2026-91403 | Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition | JSSE | Multiple | Yes | 9.1 | Network | Low | None | None | Un-<br>changed | High | High | None | Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1; Oracle GraalVM for JDK: 17.0.21, 21.0.13; Oracle GraalVM Enterprise Edition: 21.3.20 | See Note 1 |
注記：
- この脆弱性は、指定されたコンポーネントのAPIを使用して悪用される可能性があります。例えば、APIにデータを提供するWebサービスを介して悪用される可能性があります。この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行するクライアントで、信頼されていないコード（例：インターネットから取得したコード）をロードして実行し、セキュリティのためにJavaサンドボックスに依存するJavaデプロイメントにも適用されます。