--- title: "Oracle 2026年1月CPUの337件とは？Java・MySQL・WebLogicの修正版と悪用済みCVE【2026年11月】" url: "https://www.issoh.co.jp/tech/details/10689/" published: 2026-01-22 updated: 2026-11-11 categories: ["脆弱性・インシデント"] publisher: "株式会社一創" --- # Oracle 2026年1月CPUの337件とは？Java・MySQL・WebLogicの修正版と悪用済みCVE【2026年11月】 Oracleは2026年1月20日（米国時間）、2026年最初の定例セキュリティ更新「Critical Patch Update（CPU）」を公開しました。新規のセキュリティパッチは337件で、リスクマトリクス主表のCVE番号を重複排除すると158件です（「Additional CVEs addressed」の追加CVEは含みません）。対象はJava SE・MySQL・Oracle Database・Fusion Middleware（WebLogic Serverなど）・VirtualBox・業務アプリケーションまで約30の製品群に及びます。このうちWebLogic Server Proxy Plug-inの脆弱性CVE-2026-21962（CVSS 10.0）は、2026年8月24日に米CISAの悪用済み脆弱性カタログ（KEV）へ追加されました。10月には20日の四半期CPUに続いて21日と24日にJavaの臨時セキュリティアラートが出ており、1月時点の版から上げる先も変わっています。本記事では、1月CPUの内訳と製品別の影響版、1月版を当てていない環境が今どの版へ上げればよいかを、Oracleの公式アドバイザリに沿って整理します（2026年11月11日時点）。 ## まとめ：Oracle 2026年1月CPUの未適用修正とKEV掲載脆弱性への優先対応 - **1月CPUの規模**：新規パッチ337件・CVE 158件。CVSS 3.1の基本値で分けるとCritical（9.0以上）27件、High 154件、Medium 143件、Low 13件で、Criticalの27件はCVE番号の重複を除くと13件です（リスクマトリクスから集計）。 - **悪用済み**：Oracle HTTP Server・WebLogic Server Proxy Plug-inのCVE-2026-21962（CVSS 10.0、認証不要）が2026年8月24日にKEVへ追加。対象は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0。11月9日版のKEVでも、Oracle製品の登録はこれが最新です。 - **Java SE**：1月の11件のうち、8・11・17・21・25の全系列に及ぶのは4件で、6件はJavaFXを同梱した8u471-b50だけが対象。1月の修正版は8u481・11.0.30・17.0.18・21.0.10・25.0.2。 - **今当てる版**：累積型の製品は10月20日のCPUを適用し、その後のSecurity Alertも確認する。非累積のCSPUで出た修正は別に確認する。Oracle JDKは10月24日の臨時アラート対応版（8u511-b33・11.0.33.0.3・17.0.21.0.3・21.0.13.0.3・25.0.5.0.3・27.0.1.0.3）が、11月11日時点でも各系列の最新です。 - **次の更新**：次のCSPUは2026年11月17日、次のCPUは2027年1月19日。10月20日のCPUの1295件の内訳と適用順は[Oracle 2026年10月CPUの解説記事](/tech/details/18842/)、月例CSPUとCPUの違いは[Oracle CSPUの解説記事](/tech/details/18268/)にまとめています。 1月CPUは公開から10か月たった更新ですが、CVE-2026-21962のように公開から約7か月後にKEVへ追加される例があります。1月版を当てていない環境は、製品ごとの累積性を確かめ、最新のCPUと必要なCSPU・Security Alert・個別パッチを当ててください。Javaは10月20日のCPU版を入れただけでは足りず、24日のアラート対応版まで上げて初めて今の最新に届きます。 ## 2026年1月CPUの337件の内訳と製品別の修正件数・認証の要否 [Oracleの2026年1月CPUアドバイザリ](https://www.oracle.com/security-alerts/cpujan2026.html)は、製品群ごとのリスクマトリクスで件数と影響版を示しています。件数の多い製品群と、本記事で扱う製品群は次のとおりです。 | 製品群 | 新規パッチ | 認証不要で遠隔悪用 | | ------------------------------- | ----- | --------------------- | | Communications | 56件 | 34件 | | Fusion Middleware | 51件 | 47件 | | Financial Services Applications | 38件 | 33件 | | MySQL | 20件 | 7件 | | Database製品群 | 18件 | Database Server 7件中2件 | | Virtualization | 14件 | 1件 | | PeopleSoft | 12件 | 10件 | | Java SE | 11件 | 11件（全件） | | E-Business Suite | 8件 | 2件 | 件数が最も多いのはCommunications（通信事業者向け製品）の56件ですが、一般の企業システムで使う機会は限られます。社内システムに直結しやすいのは、認証不要の修正が51件中47件あるFusion Middlewareです。Database製品群の18件は、Database Server本体の7件にGoldenGate（5件）やAPEX・Essbaseなどを足した数です。Database Serverの影響版は19.3〜19.29、21.3〜21.20、23.4.0〜23.26.0でした。10月CPUではこの範囲が19.3〜19.32、21.3〜21.23、23.4.0〜23.26.3まで広がっており、1月版のままのDatabaseは、その後3回分のCPUの対象にも入っています。 ### CVSS 9.0以上の延べ27件と認証不要の脆弱性から決める適用順序 リスクマトリクスでCVSS 3.1の基本値が9.0以上の行は延べ27件で、CVE番号の重複を除くと13件です。同じCVEが複数の製品群の行に出てくるのは、Oracle製品に同梱されたサードパーティ部品（Apache Tikaなど）の脆弱性が、製品ごとに1行ずつ載るためです。CVSSの高さだけで並べた一覧には、使っていない製品群の行も多く混ざります。まず自社が使う製品と版の行だけを抜き出し、「Remote Exploit without Auth.?」列がYesの行から当てる順番を決めてください。スコアの各項目の読み方は[CVSSv3の計算式とスコアの目安](/tech/details/5094/)で確認できます。 ## WebLogic Server Proxy Plug-inのKEV入りと更新対応 1月CPUの中で、2026年11月時点で最も急ぐべきなのがCVE-2026-21962です。対象はOracle HTTP ServerとWebLogic Server Proxy Plug-in（Apache HTTP Server用・IIS用）で、HTTPで到達できる認証のない攻撃者が悪用できます。[NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-21962)に載るOracleの評価はCVSS 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）です。 ### KEV追加までの経緯と影響を受ける版・前段のWebサーバーの確認 パッチは1月20日のCPUで提供されましたが、[CISAがKEVに追加](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field%5Fcve=CVE-2026-21962)したのは2026年8月24日で、KEVに記載された米連邦民間行政機関向けの対応期限は8月27日です。影響版は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0です。WebLogicの前段にApacheやIISを置き、Proxy Plug-inで振り分けている構成は珍しくありません。WebLogic本体を更新していても、前段のWebサーバー側のプラグインを更新していなければ対象のまま残ります。KEVの期限がどう決まるかは[BOD 26-04とKEVの是正期限の仕組み](/tech/details/18233/)で解説しています。 確認すべきは、プラグインがどのWebサーバーに入っているかの棚卸しです。Oracle HTTP Serverを使っていない環境でも、Apache HTTP ServerやIISに`mod_wl`系のモジュールやIIS用のプラグインを入れていれば該当します。 10月20日のCPUでも、Proxy Plug-inとWebLogic Serverは再び対象に入りました。WebLogic Serverの影響版は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0の4つで、CVSS 9.8の修正が2件あります。1月の修正を当てた環境も、10月のCPUを当てなければ最新の状態にはなりません。 ### 2026年にKEVへ追加されたOracle製品のCVEと修正の出所 | CVE | 製品 | 修正の出所 | KEV追加 | | -------------- | ------------------------- | -------------- | ---------- | | CVE-2026-21962 | HTTP Server・Proxy Plug-in | 2026年1月CPU | 2026-08-24 | | CVE-2026-46817 | E-Business Suite | 2026年5月CSPU | 2026-07-15 | | CVE-2026-35273 | PeopleSoft PeopleTools | Security Alert | 2026-06-12 | | CVE-2024-21182 | WebLogic Server | 2024年7月CPU | 2026-06-01 | CVE-2026-46817（Oracle Payments、CVSS 9.8）とCVE-2026-35273（PeopleTools 8.61・8.62、CVSS 9.8）は、いずれも認証不要で乗っ取りに至るとされています。CVE-2024-21182は、2024年に直った脆弱性が2026年になってKEVに載った例です。古いCPUを飛ばしたままの環境ほど、こうした遅れて見つかる悪用の対象になります。CISAが公開する[KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)（catalogVersion 2026.11.09）でも、8月24日より後に追加されたOracle製品のCVEはありませんでした。10月CPUや10月の臨時アラートで直った脆弱性は、まだKEVに載っていない段階です。 ## Java SE 11件とMySQL 20件の影響版と2026年11月時点の更新先 Java SEとMySQLは、Oracleの業務アプリケーションを利用していない環境でも、導入状況を確認すべき製品です。 ### Java SEの11件は全系列に及ぶ4件とJavaFX同梱版だけの6件 1月CPUのJava SE製品群は11件で、すべて認証不要で遠隔悪用し得る分類、最大CVSSは7.5です。ただし11件が全環境に当たるわけではありません。リスクマトリクスの影響版の列で分けると次のようになります。 - **8・11・17・21・25の全系列が対象（4件）**：Security部品のCVE-2026-21945（CVSS 7.5、可用性への影響のみHigh）、AWT・JavaFXのCVE-2026-21932（7.4）、NetworkingのCVE-2026-21933（6.1）、RMIのCVE-2026-21925（4.8）。CVE-2026-21945は[Tenableが発見したサーバーサイドリクエストフォージェリ（SSRF）](https://www.tenable.com/blog/oracle-january-2026-critical-patch-update-addresses-158-cves)で、悪用されるとリソースを使い果たしてサービス停止（DoS）に至ると説明されています。 - **JavaFXを同梱した8u471-b50だけが対象（6件）**：WebKitGTK・libxslt・libxml2・glibc・GStreamerなど、JavaFXが取り込んだ部品の脆弱性です。JavaFXを含まない通常の8u471や11以降の系列は該当しません。 - **JDK Mission Control 9.1.1だけが対象（1件）**：同梱のlz4-javaの脆弱性（CVSS 5.4）。 修正版は8u481・11.0.30・17.0.18・21.0.10・25.0.2です。CVSSの値は、Java Web Startやアプレットを管理者権限で動かす前提（Windowsで一般的）で付けられており、管理者権限で動かさない場合（LinuxやSolarisで一般的）は、該当する影響評価が「High」から「Low」になるとOracleは注記しています。 その後、4月CPUで11件、7月CPUで19件、[10月CPU](https://www.oracle.com/security-alerts/cpuoct2026.html)で55件（うち49件が認証不要）のJava SEの修正が続きました。10月20日のCPU版の翌日と4日後には臨時のアラート対応版も出ています。1月の修正版から見た各系列の版の移り変わりは次のとおりです。 | 系列 | 1月CPUの修正版 | 10月20日のCPU版 | 11月11日の最新 | | ------- | --------- | ----------- | ----------- | | Java 8 | 8u481 | 8u511-b09 | 8u511-b33 | | Java 11 | 11.0.30 | 11.0.33 | 11.0.33.0.3 | | Java 17 | 17.0.18 | 17.0.21 | 17.0.21.0.3 | | Java 21 | 21.0.10 | 21.0.13 | 21.0.13.0.3 | | Java 25 | 25.0.2 | 25.0.5 | 25.0.5.0.3 | | Java 27 | — | 27.0.1 | 27.0.1.0.3 | 11月11日の列は、Oracleのリリースノート一覧の先頭に載る10月24日のアラート対応版で、10月24日以降に新しい版は出ていません。最新版は[JDK 21のリリースノート一覧](https://www.oracle.com/java/technologies/javase/21u-relnotes.html)など、系列ごとのページで確認できます。Java 8は更新番号を8u511のまま据え置き、ビルド番号がb09（10月20日）、b32（21日）、b33（24日）と進んだため、`8u511`という表記だけでは段階を見分けられません。OpenJDKのディストリビューションを使っている場合は、配布元ごとに同じCPUの修正を取り込んだ版が出るので、その版番号で確かめてください。OpenJDKとOracle JDKの違いは[OpenJDKの商用利用とOracle JDKとの違い](/tech/details/3971/)、Javaの脆弱性をCVSSだけで判断しない考え方は[Java脆弱性の一覧と対策](/column/details/3114/)で扱っています。 ### 10月CPU直後に出たJavaの臨時アラート2本と当て直しが要る版 10月20日のCPUの翌日、Oracleは定例の枠の外で[CVE-2026-91403のセキュリティアラート](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html)を出しました。部位はJSSEで、CVSSは9.1、認証なしでネットワーク越しに悪用できます。影響版は8u511・11.0.33・17.0.21・21.0.13・25.0.5・27.0.1で、前日に出たばかりのCPU版そのものです。中身は、侵害されたeMudhraの中間CA証明書8枚を遮断するもので、Oracleは同じ日に21.0.13.0.2などの対応版を出しました。 3日後の10月24日には、[CVE-2026-114820のセキュリティアラート](https://www.oracle.com/security-alerts/alert-cve-2026-114820.html)が続きます。こちらもJSSEでCVSS 9.1、影響版は21日の対応版（8u511-b32・11.0.33.0.2・17.0.21.0.2・21.0.13.0.2・25.0.5.0.2・27.0.1.0.2）です。24日の対応は、JDKのcacertsからeMudhraとComodo（現Sectigo）のルート証明書計4枚を外すものです（[JDK 21.0.13.0.3のリリースノート](https://www.oracle.com/java/technologies/javase/21-0-13-0-3-relnotes.html)）。1月の8u481や21.0.10から上げる環境は、途中の版を経由せず、この24日版へ直接上げれば足ります。 このアラートは10月30日の改訂（Rev 2）で対象が広がりました。Oracle Database Server（19.3〜19.32、21.3〜21.23、23.4.0〜23.26.3）のRDBMS内のJava部品、OPatch（12.2.0.1.16〜12.2.0.1.52）、Autonomous Health Framework（26.3〜26.10）などがCVSS 9.1で追加されています。Javaを単体で入れていないDBサーバーでも、Databaseに同梱されたJavaとOPatchが対象になります（クライアントだけのインストールは対象外）。[Oracleのアラート一覧](https://www.oracle.com/security-alerts/)では、11月11日時点でもこのRev 2が最新です。 ランタイムが危険な証明書を信頼したままかどうかは、[OpenJDKのeMudhra対応ページ](https://openjdk.org/emudhra)が案内する[CheckCerts.java](https://cr.openjdk.org/~mr/CheckCerts.java)で確かめるのが正式な手順です（JDK 8以降で動作）。手早く当たりを付けるだけなら、keytoolでcacertsの別名を検索する方法もあります。 ``` # 確認したいJDKのkeytoolで実行する（PATH上の別のJDKを見ないよう、フルパスで呼ぶと確実） # 24日のアラートで外された証明書の別名が残っているかを確認 keytool -list -cacerts -storepass changeit | grep -iE "emsign|comodoaaaca" # JDK 8 は -cacerts の代わりにキーストアのパスを指定する keytool -list -keystore "$JAVA_HOME/jre/lib/security/cacerts" -storepass changeit | grep -iE "emsign|comodoaaaca" ``` `changeit`はcacertsの既定のパスワードで、変えている環境では置き換えます。keytoolがエラーで止まった場合も出力は空になるため、何も表示されないことだけで「4枚とも無い」とは判断できません。別名は配布元で変わることがあり、アプリケーションが独自のトラストストアを指定している場合はcacertsを見ても意味がないので、判定はCheckCerts.javaで行ってください。証明書を手で消す手順や、OSの証明書ストアを作り直す必要がある場合は、[Oracle CSPUと臨時アラートの版判定を扱った記事](/tech/details/18268/)で解説しています。Eclipse Temurinの21系は、11月11日時点で[10月22日公開の21.0.13+9](https://github.com/adoptium/temurin21-binaries/releases/tag/jdk-21.0.13+9)が最新GAです。OpenJDKの配布版を使う環境は、配布元の版番号だけで判断せず、配布元の勧告とCheckCerts.javaの結果で確かめてください。TLSの証明書チェーンと失効確認の仕組みは[TLSの仕組みを実装者向けに整理した記事](/tech/details/13318/)で確認できます。 ### MySQLの20件と7月・10月CPUで対象表から外れた8.0系の扱い 1月CPUのMySQLは20件で、うち7件が認証不要で遠隔から悪用し得るものでした。影響版はMySQL Serverの8.0.0〜8.0.44、8.4.0〜8.4.7、9.0.0〜9.5.0です。4月CPUまでは8.0系も対象表に載っていましたが（8.0.45以前）、7月CPUではMySQL Serverの影響版が8.4.0〜8.4.10と9.0.0〜9.7.1になり、8.0系は対象表から外れています。10月CPUではMySQLが98件に増え、MySQL Serverの影響版は8.4.0〜8.4.12、9.7.0〜9.7.3、26.7.0〜26.7.1で、ここでも8.0系は載っていません。MySQL Server 8.0は2026年4月21日にSustaining Supportへ移行しました。CPUのアドバイザリは、Premier SupportやExtended Supportの期間外の版は検証の対象外で、それでも影響を受ける可能性が高いと書いています。8.0系は「対象外だから安全」ではなく「修正が届かない」と読み、MySQL 8.4 LTSなどへの移行を計画してください。8.0から先への移行は[MySQL 5.7と8.0の違いとEOL後の移行先](/tech/details/4251/)、版の選び方は[MySQLの特徴とバージョン選定](/tech/details/13135/)で解説しています。 ## VirtualBox 14件の1月20日公開済み修正版と影響を受ける版 [VirtualBox 7.2の変更履歴](https://www.virtualbox.org/wiki/Changelog-7.2)では、VirtualBox 7.2.6がCPUと同じ2026年1月20日に公開されています。1月CPUのVirtualization 14件のうち、VirtualBoxの影響版は7.1.14と7.2.4で、CVSSが最も高いのは8.2（ローカル・スコープ変更あり）の5件でした。ゲストOSの中から仮想化ソフト側に影響を及ぼす種類で、認証なしに遠隔から悪用できるものは1件です。 VirtualBoxはその後も更新が続き、10月20日のCPUでは7.2.16と7.2.20が影響版に挙がりました。同じ日に7.2.22が公開されており、2026年11月11日時点でも7.2系の最新はこの版です。検証用のVMでマルウェアや不審なファイルを扱う場合ほど、ホスト側のVirtualBoxを最新に保つ意味があります。使い方とインストールの手順は[VirtualBoxの使い方とインストール](/tech/details/7714/)を参照してください。 ## 自社のOracle製品の版を確かめるコマンドと影響版との照合の手順 照合は「自社で動いている製品と版の一覧」を作るところから始めます。CPUのアドバイザリは製品群ごとの影響版を書いているので、手元の版が範囲に入るかを行ごとに確かめます。 ``` # Java（実行環境ごとに確認する。複数入っていることが多い） java -version # MySQLクライアントの版（接続先サーバーの版とは別） mysql --version # 以下のSELECT VERSION()で接続先サーバーの版を確認 mysql -u root -p -e "SELECT VERSION();" # Oracle Database：対象DBのORACLE_HOMEを設定してから実行 # oracle ユーザーで、そのOracle Homeの適用済みパッチを表示 $ORACLE_HOME/OPatch/opatch lspatches # OPatch自体の版（10月24日のアラートは12.2.0.1.16〜12.2.0.1.52が対象） $ORACLE_HOME/OPatch/opatch version # Oracle Database：版の表示（SQL*Plus などで実行） SELECT banner_full FROM v$version; # WebLogic Server：以下はUNIX系の例 # ORACLE_HOMEを対象WebLogicのインストール先に設定してから実行 . $ORACLE_HOME/wlserver/server/bin/setWLSEnv.sh java weblogic.version ``` Javaは、アプリケーションに同梱されたランタイムやコンテナイメージの中のJDKが見落とされがちです。サーバーのPATHにある`java`だけでなく、アプリケーションの起動スクリプトが指すJDKのパスも確かめてください。Oracle JDKで`java -version`が21.0.13.0.3のように5桁まで表示されれば10月24日のアラート対応版、21.0.13の3桁で止まっていれば20日のCPU版のままです。Java 8でJavaFXを使うクライアントは、版番号に`-b50`系のJavaFX同梱ビルドを使っているかも確かめます。WebLogic Server Proxy Plug-inは、WebLogicのサーバーではなく前段のWebサーバーに入っているため、上のコマンドでは確認できません。ApacheやIISのモジュール一覧で探します。 ## Oracleの更新スケジュールはCPUと月例CSPUの2本立て 2026年5月から、Oracleの定例更新の仕組みが変わりました。[Oracleのセキュリティアラート一覧](https://www.oracle.com/security-alerts/)によると、1月・4月・7月・10月の第3火曜日に出る従来の累積型CPUに加え、それ以外の月（2・3・5・6・8・9・11・12月）の第3火曜日に「Critical Security Patch Update（CSPU）」が出ます。CSPUは、優先度の高い修正を小さな単位で出すもので、最初のCSPUは2026年5月28日に公開されました。CPUと違ってCSPUは累積型ではないと、OracleのFAQ（2.4）は明記しています。これとは別に、緊急性の高い修正は日付に関係なく「Security Alert」として出ます。 | 公開日 | 種類 | 新規パッチ | | ---------- | ----------- | --------------- | | 2026-01-20 | CPU | 337件 | | 2026-04-21 | CPU | 481件 | | 2026-05-28 | CSPU（初回） | 35件 | | 2026-06-16 | CSPU | 245件 | | 2026-07-21 | CPU | 1,448件 | | 2026-08-18 | CSPU | 943件 | | 2026-09-15 | CSPU | 673件 | | 2026-10-20 | CPU | 1,295件 | | 2026-10-21 | Alert（Java） | CVE-2026-91403 | | 2026-10-24 | Alert（Java） | CVE-2026-114820 | | 2026-11-17 | CSPU（予定） | — | | 2026-12-15 | CSPU（予定） | — | | 2027-01-19 | CPU（予定） | — | 7月CPUは1,448件、8月CSPUは943件、10月CPUは1,295件（CVEで数えると1,209件）と、1回あたりの件数は1月の数倍に増えています。[7月CPU](https://www.oracle.com/security-alerts/cpujul2026.html)では、E-Business Suiteだけで410件、Fusion Middlewareで355件の新規パッチがありました。四半期に一度まとめて適用する運用のままでは、月例のCSPUで出た修正が最大2か月遅れます。重要な製品だけでも、CSPUの公開日に影響を判定する手順を足しておくのが現実的です。毎月の公開日を社内の作業日に組み込む方法は、Microsoftの月例更新を例に[Patch Tuesdayの日程とゼロデイへの対応順](/tech/details/9248/)で扱っています。10月25日には、PHPの脆弱性（通称PHP2Shell）に関する[CVE-2026-109618のアラート](https://www.oracle.com/security-alerts/alert-cve-2026-109618.html)も出ました。対象はOracle Communications製品群・Solaris 11・Oracle Secure Backupで、本記事で扱うJava・MySQL・WebLogicは含まれません。このアラートは11月6日の改訂（Rev 3）で、これ以上の製品追加は予定しないと明記されました。 ## パッチ適用の優先順位を決めるKEV掲載・外部公開・認証要否の判断基準 判断の軸は3つで足ります。1つ目はKEVに載っているか、2つ目はインターネットから届く製品か（WebLogic・HTTP Server・EBSの公開画面など）、3つ目は認証不要で悪用できるかです。この順を出発点に、悪用条件と業務への影響を確認します。社内用Javaや開発端末のVirtualBoxも、信頼できない入力やゲストOSを扱う場合は、月例の作業日まで待たずに対応を判断します。10月のJavaのアラート2本のように、TLSの証明書検証に関わるCVSS 9.1の修正は、外部と通信するJavaアプリを動かしているなら次のCSPUを待たずに当てる対象です。逆に、CVSSが9.0以上でも自社で使っていない製品群の行は、確認だけして作業の対象から外して構いません。KEVを起点に優先度を決めて自動適用まで回す運用は、[パッチ管理の手順をまとめた記事](/tech/details/19309/)で解説しています。 Oracle DatabaseやMySQLのように、更新に停止やバージョンアップを伴う製品は、パッチ適用と移行の計画を分けると作業が増えます。10月24日のアラートでDatabase Serverが対象に加わったように、Databaseの保守ではJavaやOPatchまで含めた版の管理が必要です。サポートの切れた版から上げる移行と、パッチ適用の手順を一緒に整理したい場合は、[データベース設計・移行支援](https://www.issoh.co.jp/service/system/database/)で版の選定から切り替えまでを支援しています。Java 8のように古い系列を使い続けている場合の移行判断は、[Java 8をJava 25へ上げる判断基準](/column/details/2902/)を参照してください。 ## よくある質問 Oracleの2026年1月CPUについて、よく聞かれる質問をまとめます。 ### 2026年1月のCPUを当てていない場合、1月版から順に当てる必要がありますか？ 累積型の修正が提供される製品では、過去のCPUを順番に適用する必要はありません。ただし、CSPUは累積型ではなく、製品によっては過去の個別パッチも必要です。2026年11月時点では、累積型の製品には10月20日のCPUを適用し、その後の必要なSecurity Alertの修正も確認します。製品によっては前提となるパッチや版があるため、各製品の「Patch Availability Document」で適用手順を確認してください。 ### 1月CPUの脆弱性で実際に悪用されたものはありますか？ あります。Oracle HTTP ServerとWebLogic Server Proxy Plug-inのCVE-2026-21962（CVSS 10.0）が、2026年8月24日にCISAのKEVへ追加されました。影響版は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0で、修正は1月CPUで提供済みです。前段のApacheやIISにプラグインを入れている構成は、優先して更新してください。11月9日版のKEVの時点で、これより新しいOracle製品の登録はありません。 ### Javaはどの版に上げればよいですか？ 2026年11月11日時点のOracleのリリースノート一覧では、10月24日のアラート対応版の8u511-b33・11.0.33.0.3・17.0.21.0.3・21.0.13.0.3・25.0.5.0.3・27.0.1.0.3が各系列の最新です。10月20日のCPU版（21.0.13など）や21日の対応版（21.0.13.0.2など）は、24日のCVE-2026-114820の対象に入っています。1月CPUの修正版（8u481など）からは、途中の版を経ずに24日版へ更新できます。なお[Oracleのダウンロードページ](https://www.oracle.com/java/technologies/downloads/)によると、Oracle JDK 21は21.0.13以降の更新にOTNライセンスが適用され、無償で使えるのは個人利用や開発用途などに限られます。業務で使う場合は、更新前に利用条件を確認してください。OpenJDKを使っている場合は、配布元の同等の版を確かめ、まだ出ていなければCheckCerts.javaで危険な証明書を信頼していないかを確認します。 ### Critical Security Patch Update（CSPU）とは何ですか？ 2026年5月に始まった、Oracleの月例のセキュリティ更新です。四半期ごとのCPUが出ない月（2・3・5・6・8・9・11・12月）の第3火曜日に公開され、優先度の高い修正を小さな単位で提供します。CPUと同じく、有効なサポート契約のある利用者が対象です。次回は2026年11月17日、その次は12月15日の予定で、次の四半期CPUは2027年1月19日です。 ### VirtualBoxの1月の脆弱性はどの版で直りましたか？ VirtualBox 7.2.6（2026年1月20日公開）で直っています。影響を受けたのは7.1.14と7.2.4です。その後も更新が続いており、10月20日のCPUでは7.2.20までが影響版に挙がりました。2026年11月11日時点の7.2系の最新は、10月20日に公開された7.2.22です。 ## 関連記事 - [Oracle 2026年10月CPUの1295件：CVSS 10.0の6件と自社製品の抽出・適用順](/tech/details/18842/) - [Oracle CSPUとは？Javaの月次パッチとCPUの違い、版番号の判定と配布元別の対応版](/tech/details/18268/) - [パッチ管理とは：KEVで優先度を決め、Patch Managerとapt・dnfで自動適用する手順](/tech/details/19309/) - [BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方](/tech/details/18233/) - [Java脆弱性の一覧と対策：CVE-2024-20932・20918・20919をCVSSだけで判断しない](/column/details/3114/) --- 出典: [Oracle 2026年1月CPUの337件とは？Java・MySQL・WebLogicの修正版と悪用済みCVE【2026年11月】]()（株式会社一創）