Amazon が 2026年10月22日（米国時間）に、OpenJDK の無償ディストリビューション「Amazon Corretto」の四半期セキュリティ・重要更新を発表しました。Java 27・25・21・17・11・8 の各系列が対象で、Corretto を社内システムや業務アプリの実行環境に使っている情シス担当者は、更新の判断が必要です。出典はAWS の公式告知です。
Corretto の10月更新、結論は「使っている系列を洗い出して更新計画を立てる」
結論から言うと、Corretto の10月更新は、まず「どの系列を、どこで使っているか」の洗い出しから始めるのがおすすめです。公開されたバージョンは次のとおりです。
| 系列 | 公開バージョン |
|---|---|
| Corretto 27 | 27.0.1.0.10 |
| Corretto 25 | 25.0.5.0.9 |
| Corretto 21 | 21.0.13.0.10 |
| Corretto 17 | 17.0.21.0.10 |
| Corretto 11 | 11.0.33.0.9 |
| Corretto 8 | 8u512 |
Corretto は、無償で本番利用向けのマルチプラットフォームな OpenJDK ディストリビューションです。長期サポート（性能改善とセキュリティ修正）が付き、更新は四半期ごとに出ます。今回はその10月分にあたります。
Corretto 21 の変更履歴で分かる修正内容
AWS の告知ページには CVE 番号や深刻度の記載がありません。そこで、Corretto 21 の GitHub 変更履歴（21.0.13.0.10）を見ると、CVE が計40件並んでいます。リリース日は変更履歴上で2026年10月20日です。
Corretto 21 の最大の CVSS は 9.1
| CVSS | CVE | 対象コンポーネント |
|---|---|---|
| 9.1 | CVE-2026-91403 | security-libs/javax.net.ssl |
| 7.0 | CVE-2026-91415 | client-libs/2d |
| 6.8 | CVE-2026-91398 | core-libs/java.net |
最大の 9.1 は、TLS まわりの javax.net.ssl を扱うコンポーネントです。HTTPS などの通信で Java を使う業務アプリは多いので、Corretto の更新は後回しにしにくい内容です。ただし、この CVE の悪用条件（リモートから狙えるか、認証が要るか）や、実際に悪用されているかは、公式の資料に書かれていません。ここは断定せず、深刻度の数値を目安に優先度を決めてください。
Corretto 21 のセキュリティ以外の修正
21.0.13.0.10 は OpenJDK 21.0.13+9 を取り込み、タイムゾーンデータを 2026e に更新しています。Windows のタイムゾーンマッピングやレジストリハンドルの不具合も直っています。日時を扱う業務アプリでは、こちらも確認しておきたいところです。
なお、ここで挙げた CVE の件数と内容は Corretto 21 の変更履歴によるものです。25・17・11・8・27 の各系列は、それぞれの変更履歴で確かめてください。
Corretto の更新でやっておきたいこと
おすすめの進め方は次の順番です。
- 使っている Corretto の系列とバージョンを洗い出す: サーバー、業務アプリの実行環境、開発端末、CI の環境が対象です
- Docker イメージも見る: Corretto は Docker イメージも提供されているので、ベースイメージに使っているコンテナも対象に入れます
- 更新の優先順位を決める: 外部に公開しているシステムや、通信の暗号化に Java を使う業務アプリから先に当てます
- 検証環境で動作を確かめる: タイムゾーンデータの更新が、日時を扱う処理に影響しないかも見ます
Linux では、Apt・Yum・Apk のリポジトリを設定して更新する方法があり、手順は公式ドキュメントに案内されています。ダウンロードは Corretto のホームページからです。詳しくはAmazon Corretto 製品ページと、Corretto 21 の変更履歴をご覧ください。
Corretto の更新を後回しにしないために
四半期ごとの更新は、3か月ごとに巡ってきます。更新のたびに洗い出しをやり直すより、使っている系列の一覧を持っておくほうが、判断がずっと速くなります。次の四半期更新までに、一覧づくりだけでも済ませておくのがおすすめです。
2026年10月22日（米国時間）の AWS 発表と、Corretto 21 の変更履歴にもとづく情報です。ほかのITの話題は、技術ネタの記事一覧からどうぞ。
ITもごはんも、腹八分目が長続きのコツ！
コメント