Oracle 2026年1月CPUの337件とは？Java・MySQL・WebLogicの修正版と悪用済みCVE【2026年11月】

Oracleは2026年1月20日（米国時間）、2026年最初の定例セキュリティ更新「Critical Patch Update（CPU）」を公開しました。新規のセキュリティパッチは337件で、リスクマトリクス主表のCVE番号を重複排除すると158件です（「Additional CVEs addressed」の追加CVEは含みません）。対象はJava SE・MySQL・Oracle Database・Fusion Middleware（WebLogic Serverなど）・VirtualBox・業務アプリケーションまで約30の製品群に及びます。このうちWebLogic Server Proxy Plug-inの脆弱性CVE-2026-21962（CVSS 10.0）は、2026年8月24日に米CISAの悪用済み脆弱性カタログ（KEV）へ追加されました。10月には20日の四半期CPUに続いて21日と24日にJavaの臨時セキュリティアラートが出ており、1月時点の版から上げる先も変わっています。本記事では、1月CPUの内訳と製品別の影響版、1月版を当てていない環境が今どの版へ上げればよいかを、Oracleの公式アドバイザリに沿って整理します（2026年11月11日時点）。

まとめ：Oracle 2026年1月CPUの未適用修正とKEV掲載脆弱性への優先対応

• 1月CPUの規模：新規パッチ337件・CVE 158件。CVSS 3.1の基本値で分けるとCritical（9.0以上）27件、High 154件、Medium 143件、Low 13件で、Criticalの27件はCVE番号の重複を除くと13件です（リスクマトリクスから集計）。
• 悪用済み：Oracle HTTP Server・WebLogic Server Proxy Plug-inのCVE-2026-21962（CVSS 10.0、認証不要）が2026年8月24日にKEVへ追加。対象は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0。11月9日版のKEVでも、Oracle製品の登録はこれが最新です。
• Java SE：1月の11件のうち、8・11・17・21・25の全系列に及ぶのは4件で、6件はJavaFXを同梱した8u471-b50だけが対象。1月の修正版は8u481・11.0.30・17.0.18・21.0.10・25.0.2。
• 今当てる版：累積型の製品は10月20日のCPUを適用し、その後のSecurity Alertも確認する。非累積のCSPUで出た修正は別に確認する。Oracle JDKは10月24日の臨時アラート対応版（8u511-b33・11.0.33.0.3・17.0.21.0.3・21.0.13.0.3・25.0.5.0.3・27.0.1.0.3）が、11月11日時点でも各系列の最新です。
• 次の更新：次のCSPUは2026年11月17日、次のCPUは2027年1月19日。10月20日のCPUの1295件の内訳と適用順はOracle 2026年10月CPUの解説記事、月例CSPUとCPUの違いはOracle CSPUの解説記事にまとめています。

1月CPUは公開から10か月たった更新ですが、CVE-2026-21962のように公開から約7か月後にKEVへ追加される例があります。1月版を当てていない環境は、製品ごとの累積性を確かめ、最新のCPUと必要なCSPU・Security Alert・個別パッチを当ててください。Javaは10月20日のCPU版を入れただけでは足りず、24日のアラート対応版まで上げて初めて今の最新に届きます。

2026年1月CPUの337件の内訳と製品別の修正件数・認証の要否

Oracleの2026年1月CPUアドバイザリは、製品群ごとのリスクマトリクスで件数と影響版を示しています。件数の多い製品群と、本記事で扱う製品群は次のとおりです。

件数が最も多いのはCommunications（通信事業者向け製品）の56件ですが、一般の企業システムで使う機会は限られます。社内システムに直結しやすいのは、認証不要の修正が51件中47件あるFusion Middlewareです。Database製品群の18件は、Database Server本体の7件にGoldenGate（5件）やAPEX・Essbaseなどを足した数です。Database Serverの影響版は19.3〜19.29、21.3〜21.20、23.4.0〜23.26.0でした。10月CPUではこの範囲が19.3〜19.32、21.3〜21.23、23.4.0〜23.26.3まで広がっており、1月版のままのDatabaseは、その後3回分のCPUの対象にも入っています。

CVSS 9.0以上の延べ27件と認証不要の脆弱性から決める適用順序

リスクマトリクスでCVSS 3.1の基本値が9.0以上の行は延べ27件で、CVE番号の重複を除くと13件です。同じCVEが複数の製品群の行に出てくるのは、Oracle製品に同梱されたサードパーティ部品（Apache Tikaなど）の脆弱性が、製品ごとに1行ずつ載るためです。CVSSの高さだけで並べた一覧には、使っていない製品群の行も多く混ざります。まず自社が使う製品と版の行だけを抜き出し、「Remote Exploit without Auth.?」列がYesの行から当てる順番を決めてください。スコアの各項目の読み方はCVSSv3の計算式とスコアの目安で確認できます。

WebLogic Server Proxy Plug-inのKEV入りと更新対応

1月CPUの中で、2026年11月時点で最も急ぐべきなのがCVE-2026-21962です。対象はOracle HTTP ServerとWebLogic Server Proxy Plug-in（Apache HTTP Server用・IIS用）で、HTTPで到達できる認証のない攻撃者が悪用できます。NVDに載るOracleの評価はCVSS 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）です。

KEV追加までの経緯と影響を受ける版・前段のWebサーバーの確認

パッチは1月20日のCPUで提供されましたが、CISAがKEVに追加したのは2026年8月24日で、KEVに記載された米連邦民間行政機関向けの対応期限は8月27日です。影響版は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0です。WebLogicの前段にApacheやIISを置き、Proxy Plug-inで振り分けている構成は珍しくありません。WebLogic本体を更新していても、前段のWebサーバー側のプラグインを更新していなければ対象のまま残ります。KEVの期限がどう決まるかはBOD 26-04とKEVの是正期限の仕組みで解説しています。

確認すべきは、プラグインがどのWebサーバーに入っているかの棚卸しです。Oracle HTTP Serverを使っていない環境でも、Apache HTTP ServerやIISにmod_wl系のモジュールやIIS用のプラグインを入れていれば該当します。

10月20日のCPUでも、Proxy Plug-inとWebLogic Serverは再び対象に入りました。WebLogic Serverの影響版は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0・15.1.1.0.0の4つで、CVSS 9.8の修正が2件あります。1月の修正を当てた環境も、10月のCPUを当てなければ最新の状態にはなりません。

2026年にKEVへ追加されたOracle製品のCVEと修正の出所

CVE-2026-46817（Oracle Payments、CVSS 9.8）とCVE-2026-35273（PeopleTools 8.61・8.62、CVSS 9.8）は、いずれも認証不要で乗っ取りに至るとされています。CVE-2024-21182は、2024年に直った脆弱性が2026年になってKEVに載った例です。古いCPUを飛ばしたままの環境ほど、こうした遅れて見つかる悪用の対象になります。CISAが公開するKEV（catalogVersion 2026.11.09）でも、8月24日より後に追加されたOracle製品のCVEはありませんでした。10月CPUや10月の臨時アラートで直った脆弱性は、まだKEVに載っていない段階です。

Java SE 11件とMySQL 20件の影響版と2026年11月時点の更新先

Java SEとMySQLは、Oracleの業務アプリケーションを利用していない環境でも、導入状況を確認すべき製品です。

Java SEの11件は全系列に及ぶ4件とJavaFX同梱版だけの6件

1月CPUのJava SE製品群は11件で、すべて認証不要で遠隔悪用し得る分類、最大CVSSは7.5です。ただし11件が全環境に当たるわけではありません。リスクマトリクスの影響版の列で分けると次のようになります。

• 8・11・17・21・25の全系列が対象（4件）：Security部品のCVE-2026-21945（CVSS 7.5、可用性への影響のみHigh）、AWT・JavaFXのCVE-2026-21932（7.4）、NetworkingのCVE-2026-21933（6.1）、RMIのCVE-2026-21925（4.8）。CVE-2026-21945はTenableが発見したサーバーサイドリクエストフォージェリ（SSRF）で、悪用されるとリソースを使い果たしてサービス停止（DoS）に至ると説明されています。
• JavaFXを同梱した8u471-b50だけが対象（6件）：WebKitGTK・libxslt・libxml2・glibc・GStreamerなど、JavaFXが取り込んだ部品の脆弱性です。JavaFXを含まない通常の8u471や11以降の系列は該当しません。
• JDK Mission Control 9.1.1だけが対象（1件）：同梱のlz4-javaの脆弱性（CVSS 5.4）。

修正版は8u481・11.0.30・17.0.18・21.0.10・25.0.2です。CVSSの値は、Java Web Startやアプレットを管理者権限で動かす前提（Windowsで一般的）で付けられており、管理者権限で動かさない場合（LinuxやSolarisで一般的）は、該当する影響評価が「High」から「Low」になるとOracleは注記しています。

その後、4月CPUで11件、7月CPUで19件、10月CPUで55件（うち49件が認証不要）のJava SEの修正が続きました。10月20日のCPU版の翌日と4日後には臨時のアラート対応版も出ています。1月の修正版から見た各系列の版の移り変わりは次のとおりです。

11月11日の列は、Oracleのリリースノート一覧の先頭に載る10月24日のアラート対応版で、10月24日以降に新しい版は出ていません。最新版はJDK 21のリリースノート一覧など、系列ごとのページで確認できます。Java 8は更新番号を8u511のまま据え置き、ビルド番号がb09（10月20日）、b32（21日）、b33（24日）と進んだため、8u511という表記だけでは段階を見分けられません。OpenJDKのディストリビューションを使っている場合は、配布元ごとに同じCPUの修正を取り込んだ版が出るので、その版番号で確かめてください。OpenJDKとOracle JDKの違いはOpenJDKの商用利用とOracle JDKとの違い、Javaの脆弱性をCVSSだけで判断しない考え方はJava脆弱性の一覧と対策で扱っています。

10月CPU直後に出たJavaの臨時アラート2本と当て直しが要る版

10月20日のCPUの翌日、Oracleは定例の枠の外でCVE-2026-91403のセキュリティアラートを出しました。部位はJSSEで、CVSSは9.1、認証なしでネットワーク越しに悪用できます。影響版は8u511・11.0.33・17.0.21・21.0.13・25.0.5・27.0.1で、前日に出たばかりのCPU版そのものです。中身は、侵害されたeMudhraの中間CA証明書8枚を遮断するもので、Oracleは同じ日に21.0.13.0.2などの対応版を出しました。

3日後の10月24日には、CVE-2026-114820のセキュリティアラートが続きます。こちらもJSSEでCVSS 9.1、影響版は21日の対応版（8u511-b32・11.0.33.0.2・17.0.21.0.2・21.0.13.0.2・25.0.5.0.2・27.0.1.0.2）です。24日の対応は、JDKのcacertsからeMudhraとComodo（現Sectigo）のルート証明書計4枚を外すものです（JDK 21.0.13.0.3のリリースノート）。1月の8u481や21.0.10から上げる環境は、途中の版を経由せず、この24日版へ直接上げれば足ります。

このアラートは10月30日の改訂（Rev 2）で対象が広がりました。Oracle Database Server（19.3〜19.32、21.3〜21.23、23.4.0〜23.26.3）のRDBMS内のJava部品、OPatch（12.2.0.1.16〜12.2.0.1.52）、Autonomous Health Framework（26.3〜26.10）などがCVSS 9.1で追加されています。Javaを単体で入れていないDBサーバーでも、Databaseに同梱されたJavaとOPatchが対象になります（クライアントだけのインストールは対象外）。Oracleのアラート一覧では、11月11日時点でもこのRev 2が最新です。

ランタイムが危険な証明書を信頼したままかどうかは、OpenJDKのeMudhra対応ページが案内するCheckCerts.javaで確かめるのが正式な手順です（JDK 8以降で動作）。手早く当たりを付けるだけなら、keytoolでcacertsの別名を検索する方法もあります。

# 確認したいJDKのkeytoolで実行する（PATH上の別のJDKを見ないよう、フルパスで呼ぶと確実）
# 24日のアラートで外された証明書の別名が残っているかを確認
keytool -list -cacerts -storepass changeit | grep -iE "emsign|comodoaaaca"

# JDK 8 は -cacerts の代わりにキーストアのパスを指定する
keytool -list -keystore "$JAVA_HOME/jre/lib/security/cacerts" -storepass changeit | grep -iE "emsign|comodoaaaca"

changeitはcacertsの既定のパスワードで、変えている環境では置き換えます。keytoolがエラーで止まった場合も出力は空になるため、何も表示されないことだけで「4枚とも無い」とは判断できません。別名は配布元で変わることがあり、アプリケーションが独自のトラストストアを指定している場合はcacertsを見ても意味がないので、判定はCheckCerts.javaで行ってください。証明書を手で消す手順や、OSの証明書ストアを作り直す必要がある場合は、Oracle CSPUと臨時アラートの版判定を扱った記事で解説しています。Eclipse Temurinの21系は、11月11日時点で10月22日公開の21.0.13+9が最新GAです。OpenJDKの配布版を使う環境は、配布元の版番号だけで判断せず、配布元の勧告とCheckCerts.javaの結果で確かめてください。TLSの証明書チェーンと失効確認の仕組みはTLSの仕組みを実装者向けに整理した記事で確認できます。

MySQLの20件と7月・10月CPUで対象表から外れた8.0系の扱い

1月CPUのMySQLは20件で、うち7件が認証不要で遠隔から悪用し得るものでした。影響版はMySQL Serverの8.0.0〜8.0.44、8.4.0〜8.4.7、9.0.0〜9.5.0です。4月CPUまでは8.0系も対象表に載っていましたが（8.0.45以前）、7月CPUではMySQL Serverの影響版が8.4.0〜8.4.10と9.0.0〜9.7.1になり、8.0系は対象表から外れています。10月CPUではMySQLが98件に増え、MySQL Serverの影響版は8.4.0〜8.4.12、9.7.0〜9.7.3、26.7.0〜26.7.1で、ここでも8.0系は載っていません。MySQL Server 8.0は2026年4月21日にSustaining Supportへ移行しました。CPUのアドバイザリは、Premier SupportやExtended Supportの期間外の版は検証の対象外で、それでも影響を受ける可能性が高いと書いています。8.0系は「対象外だから安全」ではなく「修正が届かない」と読み、MySQL 8.4 LTSなどへの移行を計画してください。8.0から先への移行はMySQL 5.7と8.0の違いとEOL後の移行先、版の選び方はMySQLの特徴とバージョン選定で解説しています。

VirtualBox 14件の1月20日公開済み修正版と影響を受ける版

VirtualBox 7.2の変更履歴では、VirtualBox 7.2.6がCPUと同じ2026年1月20日に公開されています。1月CPUのVirtualization 14件のうち、VirtualBoxの影響版は7.1.14と7.2.4で、CVSSが最も高いのは8.2（ローカル・スコープ変更あり）の5件でした。ゲストOSの中から仮想化ソフト側に影響を及ぼす種類で、認証なしに遠隔から悪用できるものは1件です。

VirtualBoxはその後も更新が続き、10月20日のCPUでは7.2.16と7.2.20が影響版に挙がりました。同じ日に7.2.22が公開されており、2026年11月11日時点でも7.2系の最新はこの版です。検証用のVMでマルウェアや不審なファイルを扱う場合ほど、ホスト側のVirtualBoxを最新に保つ意味があります。使い方とインストールの手順はVirtualBoxの使い方とインストールを参照してください。

自社のOracle製品の版を確かめるコマンドと影響版との照合の手順

照合は「自社で動いている製品と版の一覧」を作るところから始めます。CPUのアドバイザリは製品群ごとの影響版を書いているので、手元の版が範囲に入るかを行ごとに確かめます。

# Java（実行環境ごとに確認する。複数入っていることが多い）
java -version

# MySQLクライアントの版（接続先サーバーの版とは別）
mysql --version
# 以下のSELECT VERSION()で接続先サーバーの版を確認
mysql -u root -p -e "SELECT VERSION();"

# Oracle Database：対象DBのORACLE_HOMEを設定してから実行
# oracle ユーザーで、そのOracle Homeの適用済みパッチを表示
$ORACLE_HOME/OPatch/opatch lspatches

# OPatch自体の版（10月24日のアラートは12.2.0.1.16〜12.2.0.1.52が対象）
$ORACLE_HOME/OPatch/opatch version

# Oracle Database：版の表示（SQL*Plus などで実行）
SELECT banner_full FROM v$version;

# WebLogic Server：以下はUNIX系の例
# ORACLE_HOMEを対象WebLogicのインストール先に設定してから実行
. $ORACLE_HOME/wlserver/server/bin/setWLSEnv.sh
java weblogic.version

Javaは、アプリケーションに同梱されたランタイムやコンテナイメージの中のJDKが見落とされがちです。サーバーのPATHにあるjavaだけでなく、アプリケーションの起動スクリプトが指すJDKのパスも確かめてください。Oracle JDKでjava -versionが21.0.13.0.3のように5桁まで表示されれば10月24日のアラート対応版、21.0.13の3桁で止まっていれば20日のCPU版のままです。Java 8でJavaFXを使うクライアントは、版番号に-b50系のJavaFX同梱ビルドを使っているかも確かめます。WebLogic Server Proxy Plug-inは、WebLogicのサーバーではなく前段のWebサーバーに入っているため、上のコマンドでは確認できません。ApacheやIISのモジュール一覧で探します。

Oracleの更新スケジュールはCPUと月例CSPUの2本立て

2026年5月から、Oracleの定例更新の仕組みが変わりました。Oracleのセキュリティアラート一覧によると、1月・4月・7月・10月の第3火曜日に出る従来の累積型CPUに加え、それ以外の月（2・3・5・6・8・9・11・12月）の第3火曜日に「Critical Security Patch Update（CSPU）」が出ます。CSPUは、優先度の高い修正を小さな単位で出すもので、最初のCSPUは2026年5月28日に公開されました。CPUと違ってCSPUは累積型ではないと、OracleのFAQ（2.4）は明記しています。これとは別に、緊急性の高い修正は日付に関係なく「Security Alert」として出ます。

7月CPUは1,448件、8月CSPUは943件、10月CPUは1,295件（CVEで数えると1,209件）と、1回あたりの件数は1月の数倍に増えています。7月CPUでは、E-Business Suiteだけで410件、Fusion Middlewareで355件の新規パッチがありました。四半期に一度まとめて適用する運用のままでは、月例のCSPUで出た修正が最大2か月遅れます。重要な製品だけでも、CSPUの公開日に影響を判定する手順を足しておくのが現実的です。毎月の公開日を社内の作業日に組み込む方法は、Microsoftの月例更新を例にPatch Tuesdayの日程とゼロデイへの対応順で扱っています。10月25日には、PHPの脆弱性（通称PHP2Shell）に関するCVE-2026-109618のアラートも出ました。対象はOracle Communications製品群・Solaris 11・Oracle Secure Backupで、本記事で扱うJava・MySQL・WebLogicは含まれません。このアラートは11月6日の改訂（Rev 3）で、これ以上の製品追加は予定しないと明記されました。

パッチ適用の優先順位を決めるKEV掲載・外部公開・認証要否の判断基準

判断の軸は3つで足ります。1つ目はKEVに載っているか、2つ目はインターネットから届く製品か（WebLogic・HTTP Server・EBSの公開画面など）、3つ目は認証不要で悪用できるかです。この順を出発点に、悪用条件と業務への影響を確認します。社内用Javaや開発端末のVirtualBoxも、信頼できない入力やゲストOSを扱う場合は、月例の作業日まで待たずに対応を判断します。10月のJavaのアラート2本のように、TLSの証明書検証に関わるCVSS 9.1の修正は、外部と通信するJavaアプリを動かしているなら次のCSPUを待たずに当てる対象です。逆に、CVSSが9.0以上でも自社で使っていない製品群の行は、確認だけして作業の対象から外して構いません。KEVを起点に優先度を決めて自動適用まで回す運用は、パッチ管理の手順をまとめた記事で解説しています。

Oracle DatabaseやMySQLのように、更新に停止やバージョンアップを伴う製品は、パッチ適用と移行の計画を分けると作業が増えます。10月24日のアラートでDatabase Serverが対象に加わったように、Databaseの保守ではJavaやOPatchまで含めた版の管理が必要です。サポートの切れた版から上げる移行と、パッチ適用の手順を一緒に整理したい場合は、データベース設計・移行支援で版の選定から切り替えまでを支援しています。Java 8のように古い系列を使い続けている場合の移行判断は、Java 8をJava 25へ上げる判断基準を参照してください。

よくある質問

Oracleの2026年1月CPUについて、よく聞かれる質問をまとめます。

2026年1月のCPUを当てていない場合、1月版から順に当てる必要がありますか？

累積型の修正が提供される製品では、過去のCPUを順番に適用する必要はありません。ただし、CSPUは累積型ではなく、製品によっては過去の個別パッチも必要です。2026年11月時点では、累積型の製品には10月20日のCPUを適用し、その後の必要なSecurity Alertの修正も確認します。製品によっては前提となるパッチや版があるため、各製品の「Patch Availability Document」で適用手順を確認してください。

1月CPUの脆弱性で実際に悪用されたものはありますか？

あります。Oracle HTTP ServerとWebLogic Server Proxy Plug-inのCVE-2026-21962（CVSS 10.0）が、2026年8月24日にCISAのKEVへ追加されました。影響版は12.2.1.4.0・14.1.1.0.0・14.1.2.0.0で、修正は1月CPUで提供済みです。前段のApacheやIISにプラグインを入れている構成は、優先して更新してください。11月9日版のKEVの時点で、これより新しいOracle製品の登録はありません。

Javaはどの版に上げればよいですか？

2026年11月11日時点のOracleのリリースノート一覧では、10月24日のアラート対応版の8u511-b33・11.0.33.0.3・17.0.21.0.3・21.0.13.0.3・25.0.5.0.3・27.0.1.0.3が各系列の最新です。10月20日のCPU版（21.0.13など）や21日の対応版（21.0.13.0.2など）は、24日のCVE-2026-114820の対象に入っています。1月CPUの修正版（8u481など）からは、途中の版を経ずに24日版へ更新できます。なおOracleのダウンロードページによると、Oracle JDK 21は21.0.13以降の更新にOTNライセンスが適用され、無償で使えるのは個人利用や開発用途などに限られます。業務で使う場合は、更新前に利用条件を確認してください。OpenJDKを使っている場合は、配布元の同等の版を確かめ、まだ出ていなければCheckCerts.javaで危険な証明書を信頼していないかを確認します。

Critical Security Patch Update（CSPU）とは何ですか？

2026年5月に始まった、Oracleの月例のセキュリティ更新です。四半期ごとのCPUが出ない月（2・3・5・6・8・9・11・12月）の第3火曜日に公開され、優先度の高い修正を小さな単位で提供します。CPUと同じく、有効なサポート契約のある利用者が対象です。次回は2026年11月17日、その次は12月15日の予定で、次の四半期CPUは2027年1月19日です。

VirtualBoxの1月の脆弱性はどの版で直りましたか？

VirtualBox 7.2.6（2026年1月20日公開）で直っています。影響を受けたのは7.1.14と7.2.4です。その後も更新が続いており、10月20日のCPUでは7.2.20までが影響版に挙がりました。2026年11月11日時点の7.2系の最新は、10月20日に公開された7.2.22です。

関連記事

• Oracle 2026年10月CPUの1295件：CVSS 10.0の6件と自社製品の抽出・適用順
• Oracle CSPUとは？Javaの月次パッチとCPUの違い、版番号の判定と配布元別の対応版
• パッチ管理とは：KEVで優先度を決め、Patch Managerとapt・dnfで自動適用する手順
• BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方
• Java脆弱性の一覧と対策：CVE-2024-20932・20918・20919をCVSSだけで判断しない