Oracle JavaのeMudhra証明書対策 追加の更新が必要か確認する
Oracleは2026年10月24日、eMudhraに関連するルート認証局証明書への対策として、Oracle Java SEとGraalVM向けの追加セキュリティ情報「CVE-2026-114820」を公開しました。10月21日の中間認証局証明書への対策とは別に確認が必要です。利用しているJavaの提供元・バージョンと、製品に組み込まれた実行環境を棚卸しし、提供元の修正版や緩和策を確認してください。更新後は、必要な接続が維持されるか管理者が検証します。
- Javaを使うシステムの運用担当者
- ソフトウェアに組み込まれたJavaの更新を確認したい人
公開資料に記載された対象と対応を確認しています。製品の利用状況や設定、契約によって確認方法や影響は異なります。
身近な事例を知る
Javaを更新したはずだが、証明書の追加対策も必要か
eMudhraに関連する認証局証明書の問題について、中間証明書への対策とルート証明書への追加対策が続けて案内されました。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- Javaの提供元・バージョンと同梱された実行環境を把握し、提供元の情報を照合する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
対象環境を把握し、各Java提供元の修正版・緩和策とサポート条件を確認します。更新後に通信や署名の検証を点検し、証明書検証を安易に無効化しないでください。
確認ポイント
10月21日の対策は中間認証局証明書
OracleはCVE-2026-91403の対策として、影響を受けたeMudhra関連の中間認証局証明書を信頼しないJava更新を案内しました。
10月24日にルート認証局証明書の追加対策
OracleはCVE-2026-114820について、eMudhra関連のルート認証局証明書を削除するJava更新を案内しています。
対象の版と提供元を区別
Oracleの追加アラートはOracle Java SEとOracle GraalVMの対象バージョンを列挙しています。他社提供のJavaや製品に同梱されたJavaは各提供元の案内を確認します。
JDK 27の修正版の例
OracleのJDK 27.0.1.0.3リリースノートは、対象のルート証明書の削除とCVE-2026-114820の修正を記載しています。
証明書変更による接続影響を確認
信頼する証明書が変わるため、必要な通信や署名検証に影響がないか、管理者が検証環境で確認します。
悪用可能性と実際の被害は別
Oracleはネットワーク経由の悪用可能性を評価しています。この案内だけでは、自組織への実際の攻撃や情報漏えいは確認できません。
現時点での見立て
対象製品、Javaの提供元と版、同梱版を確認し、提供元の案内に沿って更新・検証します。
安全な対処方法
安心につながる行動
- サーバー、端末、アプリに同梱されたJavaを棚卸しする一つの端末に複数の実行環境が存在する場合があります。
- Oracle製品はセキュリティアラートの対象版と修正版を照合する中間証明書とルート証明書に関する案内は別々に公開されています。
- 他社提供Javaや業務製品の同梱版は、その提供元に更新方法と対応状況を確認するOSや別のJavaを更新しても製品の同梱版が変わるとは限りません。
- 更新前に重要な接続先と証明書の依存関係を確認し、更新後の通信を検証する信頼設定の変更によって通信や署名検証に影響が出る場合があります。
避けたい行動
- 接続エラーを解消するため証明書検証を無効化する通信先を検証できなくなり、別の危険を生みます。
- 列挙されていない古い版は安全だと決めつけるOracleはサポート対象外の版は検証されていないものの、影響する可能性が高いと説明しています。
AIの前向きな活用
更新対象と通信先を一緒に整理する
Javaの提供元と使用するアプリを一覧にし、更新後の通信確認を運用担当者と進めます。
- Javaの提供元と版を確認
- 製品に同梱されたJavaを確認
- 修正版と緩和策を照合
- 必要な通信を検証
今回、覚えておきたいこと
Javaの証明書対策は、OSだけでなく提供元と同梱された実行環境ごとに確認する。
誠主任からひとこと