2026年10月時点で、Java まわりで注意すべき CVE をまとめた調査です。
2026-10-20 公開。Oracle 全体で 1,209 CVE・1,295 件の修正。Java SE は 55 件で、うち 49 件は認証なしでリモートから悪用できる。
| CVE | CVSS | 対象 | 内容 |
|---|---|---|---|
| CVE-2026-91403 | 9.1 | Java SE・GraalVM for JDK・GraalVM Enterprise | CPU の翌日（2026-10-21）に出た臨時の Security Alert。10月の CPU だけでは足りない可能性がある |
| CVE-2026-87293 | 5.4 | Java SE 8u503・GraalVM EE 21.3.19.1.1 | RMI の脆弱性。Java 8 を使い続けている環境が対象 |
| 対象 | CVE | 内容 | 対処 |
|---|---|---|---|
| Spring Framework | CVE-2026-41855（HIGH、8.1） | Jackson を使う JMS コンバータの安全でないデシリアライズで、RCE のおそれ。7.0.x・6.2.x・6.1.x・5.3.x が影響 | 7.0.8 以上 |
| Spring for GraphQL | CVE-2026-59285（9.2） | Jackson 2 を使い、ページングする GraphQL フィールドを公開している場合の安全でないデシリアライズ | 修正版へ更新 |
| Tomcat 11.0.24 | CVE-2026-65182 / 65905 / 68525 | セキュリティ制約の迂回、DIGEST 認証のリプレイ、FORM 認証の迂回 | 11.0.25 以上 |
| Jackson 2 / 3 | CVE-2026-89425 ほか（HIGH） | DoS | jackson-core 2.18.11、2.21.7、3.1.7 |
tomcat.version を上書きして 11.0.25 以上にする。Tomcat・Jackson の CVE は主にスキャナが自動で立てたチケット・PR からの情報。
mvn dependency:tree で、実際に入っている版を確かめる。Boot が管理する版が古いままのことがある