PHPの重大な脆弱性に続き、10月20〜22日にかけてApache Tomcat・Node.js・Java（Oracle）にも相次いでセキュリティ更新が出ました。背景には、電子証明書を発行する認証局「eMudhra」の中間CAの秘密鍵が割り出せる状態だった問題もあります。
何がどのバージョンで直ったのかを一覧にし、使っているバージョンを入れるだけで「更新が必要か」を判定できるツールを用意しました。
- Tomcatは11.0.27／10.1.61／9.0.123で8件を修正。米CISAは3件を深刻度9.1と評価
- Node.jsは22.23.4／24.22.1／26.12.1で10件を修正（High 4件）。20系・25系は修正なし
- Javaは10月の定例更新（Java SE 55件）に加え、eMudhra対応の緊急アラート（CVSS 9.1）が出て、定例更新版も対象に
10月のセキュリティ更新まとめ（一覧）
| 製品 | 公表 | 件数・深刻度 | 修正版 |
|---|---|---|---|
| Apache Tomcat | 10/20（修正版は10/12公開） | 8件。CISAは3件を9.1と評価（Apacheの評価は最大Important） | 11.0.27／10.1.61／9.0.123 |
| Node.js | 10/21（UTC） | 10件（High 4・Medium 3・Low 3） | 26.12.1／24.22.1／22.23.4 |
| Java SE（10月CPU） | 10/20（米国時間） | 55件 | 27.0.1／25.0.5／21.0.13／17.0.21／11.0.33／8u511 |
| Java（緊急アラート CVE-2026-91403） | 10/21（米国時間） | 1件・CVSS 9.1 | 上の定例更新版も影響対象。追加修正はOracleの案内（CPU426）で確認 |
| PHP（参考） | 10/21 | 2件・CVSS v4.0で9.2 | 8.5.12／8.4.27／8.3.36／8.2.35 |
図解：eMudhraの中間CA問題から各社の更新まで
今回の更新が同じ週に集中した理由の一つが、インドの認証局eMudhraの問題です。報道によると、同社の中間CA 8件の秘密鍵が、極めて小さい数のため割り出せる状態でした。鍵が割り出されると、第三者が「本物に見える証明書」を作れてしまう恐れがあるため、ブラウザや各言語のランタイムがこれらのCAを信頼しないよう一斉に更新しました。現時点で不正な証明書の発行は報告されていないとされています。
使っているバージョンは大丈夫？更新判定ツール
製品を選び、バージョンを入れてください。確認方法は、Node.jsなら node -v、Javaなら java -version、Tomcatなら管理画面の表示や version.sh（version.bat） の実行結果です。
Apache Tomcat：8件を修正、3件はCISAが9.1と評価
Apache Tomcatの開発チームは10月20日、脆弱性8件を公表しました。修正を含む11.0.27、10.1.61、9.0.123は10月12日に公開済みで、いずれもサポート中の3系統です。報道によると、認証の回避や、HTTP/2で利用者間の応答が取り違えられる恐れのあるものが含まれます。
深刻度の評価は機関によって異なり、Apacheの評価は最大で「Important（重要）」、米CISAは3件をCVSS 9.1としています。どちらにしても、インターネットに公開しているTomcatは早めの更新が無難です。
| 系統 | 修正版 | メモ |
|---|---|---|
| 11.0系 | 11.0.27 | サポート中 |
| 10.1系 | 10.1.61 | サポート中 |
| 9.0系 | 9.0.123 | サポート中 |
| 8.5系・10.0系など | なし | サポート終了。移行を検討 |
Node.js：10件を修正、Brotli展開で遠隔コード実行の恐れ
Node.jsは10月21日（UTC）、予告どおりセキュリティリリースを公開しました。修正は10件で、深刻度Highが4件です。圧縮形式Brotliのデコーダーで範囲外書き込みが起き、遠隔からのコード実行につながりうるもの（CVE-2026-111497）や、全角数字のIPアドレスなどでTLSのホスト名検証を回避できるものが含まれます。
| 系列 | 修正版 | 該当件数 |
|---|---|---|
| 26系（Current） | 26.12.1 | 10件 |
| 24系（LTS） | 24.22.1 | 8件 |
| 22系（LTS） | 22.23.4 | 7件 |
| 20系・25系 | なし | サポート終了 |
今回のリリースにはCA証明書ストアの更新（eMudhra対応）や、OpenSSL・undiciなど依存ライブラリの更新も含まれています。10月22日時点で、実際の攻撃は報告されていないとされています。
Java：定例更新55件＋緊急アラート
Oracleは10月20日（米国時間）に四半期ごとの定例更新（CPU）を公開し、Java SEでは55件を修正しました。IPAも10月21日に「攻撃された場合の影響が大きい」として早めの更新を呼びかけています。
さらに翌21日には、eMudhraの中間CAを信頼しないようにする緊急のセキュリティアラート（CVE-2026-91403、CVSS 9.1）を出しました。Oracleによると、影響を受けるのは定例更新で出たばかりの8u511、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1などです。つまり「定例更新を当てたからOK」ではなく、追加の修正を確認する必要があります。
個人のパソコン・ブログ運営者はどうすればいい？
- ブラウザを最新に：Chrome・Firefox・Edgeなどはすでに対応済み。再起動して更新を反映
- Javaが入っているか確認：使っていなければアンインストール。使うなら最新版へ
- レンタルサーバーのブログ：Tomcat・Node.jsを自分で入れていなければ、基本はサーバー会社の対応待ち。お知らせを確認
- 開発者：Node.jsはnvmなどで最新パッチへ。Dockerイメージも作り直す
よくある質問
Tomcatの脆弱性はどのバージョンで直りましたか？
11.0.27、10.1.61、9.0.123です。修正版は10月12日に公開され、脆弱性の内容は10月20日に公表されました。
Node.js 20を使っています。どうすればいいですか？
20系はサポートが終了しており、今回の修正版は出ていません。22系または24系（LTS）への移行を検討してください。
Javaは10月の更新を当てました。これで大丈夫ですか？
Oracleの緊急アラート（CVE-2026-91403）は、10月の定例更新版も影響対象としています。Oracleの案内で追加の修正を確認してください。
eMudhraの問題で、私のパソコンに何かする必要はありますか？
ブラウザやOSを最新に保てば、主要ブラウザ側で対応済みです。Java・Node.js・Pythonなどを使う開発環境では、ランタイムを更新してください。
実際に攻撃は起きていますか？
10月22日時点で、Node.jsの脆弱性について実際の攻撃は報告されていないとされ、eMudhraの件でも不正な証明書の発行は報告されていません。ただし情報が公開された後は攻撃が始まる前提で、早めに更新するのが安全です。
