Oracle 2026年10月CPUの1295件：CVSS 10.0の6件と自社製品の抽出・適用順

Oracleは2026年10月20日、四半期ごとのCritical Patch Update（CPU）で1295件のセキュリティパッチを公開しました。CVEにすると1209件、対象は33の製品群です。この記事では、SOA Suite・Access Manager・E-Business Suite・JD EdwardsにあるCVSS 10.0の6件を中心に、WebLogicやDatabase、MySQL、Javaの影響版を整理し、公式のCSAF JSONから自社が使う製品の行だけを抜き出すスクリプトと適用の順番を示します。内容は2026年10月24日時点の公開情報にもとづきます。

まとめ：10月CPUは外部公開のSOA Suite・Access Manager・EBSから当てる

最初に当てるのは、インターネットから届く場所で動かしているSOA Suite、Access Manager、E-Business Suite、JD Edwards EnterpriseOne Orchestratorです。この4製品にCVSS 10.0が計6件あり、どれも認証なしでネットワーク越しに悪用できると評価されています。WebLogic Serverの9.8が2件、APEXとDatabaseの9.8が各1件で続きます。

1295件をすべて読む必要はありません。公式のCSAF JSONを製品名で絞れば、自社に関係する行は多くても数十件に収まります。10月24日時点でCISAの悪用確認済みカタログ（KEV）に載ったOracle製品のCVEは今回分に無いものの、待つ理由にはなりません。どの製品が自社のどこで動いているか把握できていない場合は、脆弱性診断・セキュリティ診断で構成の洗い出しから相談できます。

2026年10月CPUで修正された1295件の内訳と製品群ごとの件数

公表ページの数字を先に押さえ、どの製品群に修正が集まっているかを確かめます。

1295件のパッチと1209件のCVE、33製品群で数が合わない理由

Oracle Critical Patch Update Advisory – October 2026の冒頭には「1295 new security patches」とあります。リスクマトリクスは同じCVEを製品ごとに別の行で載せるため、行の数がパッチ数になり、重複を除いたCVEは1209件です。手元で表を集計した結果は、Tenableの分析が示す1209 CVE・33製品群と一致しました。

CVSS 9.0以上は全体で112行、重複を除くと95件でした。Fusion Middlewareだけでその3分の1を占める内訳です。件数の多いEBSは9.0以上が4行にとどまる一方、WebLogicやSOA Suiteを含むFusion Middlewareは認証不要の修正が134件あり、重さの中心はこちらにあります。スコアの読み方はCVSSv3の計算式とスコアの目安で解説しています。

CVSS 10.0の6件を製品・部品・通信経路と影響版で照合する

上限の10.0が付いたのはSOA Suite・Access Manager・EBS・JD Edwardsの次の6件です。どれも認証なしのネットワーク経由で悪用でき、影響が他の製品へ広がるスコープ変更を伴います。

表のEBSの通知メール部品はWorkflow Notification Mailer、JD EdwardsのE1 IOT連携部品はE1 IOT Orchestratorを指します。CVE番号と合わせて部品名も照合してください。SOA Suiteの3件のうち2件はT3とIIOPが経路です。WebLogicの管理用プロトコルを外部に開いていないなら、まず届くのはHTTPの1件だけになります。Access Managerは社内システムのシングルサインオンを担う製品のため、破られると後ろにある業務アプリへの入口ごと奪われます。

自社のOracle製品だけを抜き出すCSAF JSONの読み込みスクリプト

CPUのページは1295行の表が33個並び、目で追うと見落としが出ます。Oracleはリスクマトリクスを機械で読める形式でも配っているので、そちらを使います。

CSAF 2.0のproduct_treeから製品群・製品名・版を引くPythonコード

CPUのページのReferences欄にある「CSAF JSON version of the risk matrices」（CSAF 2.0形式・約5.3MB）は、製品の一覧をproduct_tree、CVEごとの評価をvulnerabilitiesに分けて持ちます。次のスクリプトは製品群と製品名に指定した語を含む行だけを、スコアの高い順に出します。実行に必要なのはPythonの標準ライブラリだけです。

import json
import sys
import urllib.request

# 2026年10月CPUのリスクマトリクス（CSAF 2.0形式）
URL = "https://www.oracle.com/docs/tech/security-alerts/cpuoct2026csaf.json"
UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Safari/537.36"


def product_names(node, out, family=""):
    # product_tree の入れ子をたどり、product_id から「製品群＋製品名＋版」を引ける表を作る
    if node.get("category") == "product_family":
        family = node["name"]
    if "product" in node:
        out[node["product"]["product_id"]] = f"{family} | {node['product']['name']}"
    for child in node.get("branches", []):
        product_names(child, out, family)
    return out


def main():
    keyword = sys.argv[1].lower()          # 例: weblogic
    threshold = float(sys.argv[2]) if len(sys.argv) > 2 else 9.0
    req = urllib.request.Request(URL, headers={"User-Agent": UA})
    doc = json.load(urllib.request.urlopen(req, timeout=60))
    names = product_names(doc["product_tree"], {})
    hits = []
    for v in doc["vulnerabilities"]:
        for s in v.get("scores", []):
            score = s["cvss_v3"]["baseScore"]
            matched = sorted({names[p] for p in s["products"] if keyword in names.get(p, "").lower()})
            if matched and score >= threshold:
                hits.append((score, v["cve"], matched))
    for score, cve, matched in sorted(hits, reverse=True):
        print(f"{score:4.1f}  {cve:<16}  {matched[0]}" + (f" ほか{len(matched) - 1}版" if len(matched) > 1 else ""))
    print(f"{len(hits)} 件（{keyword}・CVSS {threshold} 以上）")


if __name__ == "__main__":
    main()

EBSのCVEは「Workflow」のようにモジュール名で載っているので、製品名だけで照合すると0件になります。製品群の名前も照合に含めているのはこのためです。User-Agentは、社内のプロキシが既定のPythonの識別名を弾く環境に備えて付けています。

WebLogic・EBS・MySQLで実行したときの出力と件数

2026年10月24日にPython 3.14.7で公式URLから直接取得して実行しました。引数にweblogicを渡すと、次の3件が出ます。

$ python cpu_filter.py weblogic
 9.8  CVE-2026-91323    Oracle Fusion Middleware | Oracle WebLogic Server Version 12.2.1.4.0 ほか3版
 9.8  CVE-2026-83399    Oracle Fusion Middleware | Oracle WebLogic Server Version 12.2.1.4.0 ほか3版
 9.1  CVE-2026-87302    Oracle Fusion Middleware | Oracle WebLogic Server Version 12.2.1.4.0 ほか3版
3 件（weblogic・CVSS 9.0 以上）

同じ条件で「e-business suite」は4件、「mysql」は2件でした。「fusion middleware」としきい値10を渡すと、SOA Suiteの3件とAccess Managerの1件が返ります。自社の製品台帳にある名前を順に渡せば、出力結果は担当ごとの対応一覧として使える形です。しきい値を7に下げると、DatabaseのVPD（CVE-2026-91503・8.1）のように21cまで対象に含む行も拾えます。

稼働中の版をOPatchとMySQL・Javaのコマンドで確かめる手順

抜き出した行の「影響版」と照らすには、動いている環境の版が要ります。WebLogicやSOA SuiteのOracleホームでは、OPatchの文書が示すとおりlsinventoryで適用済みパッチの一覧が出ます。

# Fusion Middleware の Oracle ホーム（WebLogic・SOA Suite など）の適用済みパッチ
$ORACLE_HOME/OPatch/opatch lsinventory

# MySQL Server の版
mysql -u root -p -e "SELECT VERSION();"

# Java の版（10月21日の臨時アラートの対象かどうかも、この版で判断する）
java -version

lsinventoryの出力に10月CPUのパッチ番号が無ければ未適用です。パッチ番号と適用手順は各製品のPatch Availability Documentに載っており、閲覧にはMy Oracle Supportのアカウントが要ります。

製品別の修正：WebLogic・Database・APEX・MySQL・Javaの影響版

利用者の多い製品について、9.0以上の行と影響版を製品ごとに見ていきます。

WebLogic 15.1.1まで4つの版にあるCVSS 9.8の2件とT3の露出

WebLogic Serverは、Core部品のCVE-2026-91323（HTTP）とCVE-2026-83399（T3・IIOP）が9.8です。影響版は12.2.1.4.0、14.1.1.0.0、14.1.2.0.0、15.1.1.0.0の4つで、サポート中の版すべてにまたがります。HTTPの1件は管理用ポートを閉じていても届くため、T3を遮断しただけで済ませる判断は取れません。

WebLogicは1月CPUの修正分がのちにKEVへ載った前例があります。経緯はOracle 2026年1月CPUの337件と悪用済みCVEで追っています。

Database 19c・23aiとAPEX 26.1までの影響版と9.8の修正

Database 19c・23aiのOpenSSL由来9.8とAPEXの影響版を順に確認します。Database Serverは14件で、最も重いのは同梱のOpenSSLに起因するCVE-2026-75803（9.8・TLS経由・認証不要）です。影響版は19.3〜19.32と23.4.0〜23.26.3です。同じCVEはAutonomous Health Framework（9.1）とBusiness Intelligence Enterprise Edition（9.1）にも載っており、Databaseだけ当てて周辺製品を残すと穴が残ります。

APEXは2件とも認証不要で、CVE-2026-101521が9.8です。影響版は24.1.0〜24.1.21、24.2.0〜24.2.20、26.1.0〜26.1.4の3系列で、外部向けのフォームをAPEXで作っている環境ほど早く当てる必要があります。

MySQL Server 8.0が影響版の欄に無い意味とJava SEの55件

MySQLは98件で、9.8の2件はcurlとOpenSSLという同梱部品に由来します。注意したいのは、MySQL Serverの影響版の欄が8.4.0〜8.4.12、9.7.0〜9.7.3、26.7.0〜26.7.1だけで、8.0系が載っていない点です。CPUのページは、Premier SupportかExtended Supportの期間外にある版は検証の対象外であり、それでも影響を受ける可能性が高いと書いています。8.0系のMySQL Serverは「対象外だから安全」ではなく「修正が届かない」と読むのが正しい理解です。

Java SEは55件のうち49件が認証不要で、9.0以上はありません。8u511や21.0.13などの修正版と、月例のCSPUとの関係はOracle CSPUとは：Javaの月次パッチとCPUの違いで版番号ごとに整理しています。

10月21日の臨時アラートCVE-2026-91403とKEV照合の結果

CPUの翌日にJavaの臨時アラートが出ており、10月CPUを当てたJavaもその対象に入ります。悪用の状況もあわせて確かめました。

10月CPUで出たJavaの版そのものが対象になったeMudhraの中間CA

Oracleは10月21日、Security Alert CVE-2026-91403を公開しました。eMudhraに関係する中間CA証明書を信頼しないようにするJavaの更新です。影響版は8u511、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1で、前日のCPUで出た版と同じ番号が並びます。

10月CPUのJavaを当てて終わりにせず、アラートが示す最新版への更新か緩和策まで進めてください。GraalVM for JDKの17.0.21と21.0.13、GraalVM Enterprise Edition 21.3.20も対象です。

KEV掲載のCVEと重なるのは同梱のTomcat・HTTP/2の既知3件

CISAのKnown Exploited Vulnerabilities Catalog（2026年10月23日版）と10月CPUのページに出てくるCVEを突き合わせると、重なりは3件でした。Tomcat由来のCVE-2026-34486とCVE-2025-24813、HTTP/2のRapid Reset（CVE-2023-44487）で、いずれもCommunications製品に同梱された部品の修正に含まれています。

Oracle製品としてKEVに載った最新の登録は8月24日のCVE-2026-21962で、これは1月CPUで直された分です。今回の6件の10.0に悪用の報告はまだありません。とはいえ修正の差分が公開された後は解析が進むので、KEVへの掲載を待ってから動く運用では間に合いません。KEVの期限の考え方はBOD 26-04とKEVの是正期限で解説しています。

適用の優先順位：外部露出と認証の要否で決める10月CPUの判断基準

複数の製品を抱えているときの順番を、条件ごとに言い切ります。

当日対応はSOA Suite・Access Manager・EBSの外部公開系

インターネットから届くSOA Suite、Access Manager、EBS、JD Edwards Orchestratorは、今日の時間で手を付けます。認証不要の10.0で、どれも業務データの中心にいる製品です。保守時間が取れないならWAFやリバースプロキシで該当の入口を閉じ、週内にパッチを当てます。

WebLogicとAPEXの9.8、DatabaseのOpenSSL由来の9.8は、外部公開なら同じ扱いにします。社内ネットワークだけで使っているものは、月内の保守時間で当てれば足ります。

月内適用でよい製品の条件と11月17日のCSPUまで待たない場面

Java SEの55件や、9.0未満しか無い製品は、検証環境で動作を確かめてから月内に当てる順番で構いません。CPUのパッチは原則として累積型（usually cumulative）なので、7月分を当てていない環境も多くは10月分で追いつけます。例外があるかは製品ごとのPatch Availability Documentで確かめます。

逆に、次の月例であるCSPU（11月17日）にまとめて当てようとするのは避けてください。CSPUは対象を絞った修正で、今回の10.0の6件を含む10月CPUの代わりにはなりません。1295件を一度に全部当てようとして、重い6件の適用が来月にずれ込むのも同じ失敗です。

Oracle 2026年10月CPUの対応でよくある質問と回答

10月CPUの対応で出てきやすい疑問に、公開されている一次情報の範囲で答えます。

CPUとCSPUは何が違い、どちらを当てればよいですか？

CPUは1月・4月・7月・10月の第3火曜日に出る累積型のパッチ集で、CSPUは2026年5月28日に始まったそれ以外の月の絞り込んだ修正です。Oracleのセキュリティアラート一覧には、次回が11月17日（CSPU）、12月15日（CSPU）、2027年1月19日（CPU）と載っています。10月はCPUの月なので、10月CPUを当てるのが基本です。

1295件と1209件、どちらが正しい件数ですか？

どちらも正しく、数えている単位が違います。1295件はリスクマトリクスの行の数で、同じCVEが複数の製品に載るとその分だけ増えます。重複を除いたCVEの数が1209件です。社内の報告では「1295件のパッチ（1209 CVE）」と両方を書くと、ニュース記事の数字と食い違ったときに説明が要りません。

サポートが切れた版を使っている場合はどうなりますか？

CPUのパッチはPremier SupportかExtended Supportの期間にある版にだけ提供され、期間外の版は脆弱性の有無も検証されません。MySQL Server 8.0のように影響版の欄から消えた版は、修正が出ないまま残ります。サポート中の版へ上げる計画を立てるか、外部から届かない場所へ移すかのどちらかが必要です。

10月CPUの脆弱性はすでに悪用されていますか？

10月24日時点で、CVSS 10.0の6件を含め、10月CPUで新しく直されたOracle製品のCVEはKEVに載っていません。KEVと重なる3件は、同梱のTomcatとHTTP/2の既知の問題です。ただしOracleはCPUのページの冒頭で、修正済みの脆弱性を狙う攻撃の報告を定期的に受けており、パッチを当てていなかった顧客が実際に破られた例もあると書いています。

パッチ番号や適用手順はどこで確認できますか？

CPUのページにある影響製品の表から、製品ごとのPatch Availability Documentへ進みます。閲覧にはMy Oracle Supportのアカウントが必要です。リスクマトリクスの読み方や用語はCPUとSecurity AlertのFAQにまとまっており、こちらは誰でも読めます。

関連記事

• 脆弱性とは？種類・CVE/CVSSの仕組みと発見から修正までの実務を解説：公表から修正までの流れの基礎です。
• CVE（共通脆弱性識別子）とは？仕組み・CVSS/CWE/NVDとの違いと2026年の運営体制変化：CVEと各データベースの関係を整理しています。
• 脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説：自社システムの穴をまとめて洗い出す方法です。
• Java SEとは？JDK・JRE・JVMの違いとOracle Java/OpenJDKのライセンス：Oracle JavaとOpenJDKの違いを確かめられます。
• MySQLとは？特徴とバージョン選定・採用判断を実装目線で解説：8.0から上げる先の版を選ぶ材料になります。