Java 27 27.0.1 重要

公開 2026-10-20 · 2026-10-21 セキュリティ 破壊的変更 不具合修正

セキュリティ脆弱性の修正を含む Oracle Critical Patch Update の更新だ。HttpServer は Host ヘッダーを検証するようになり、欠落や重複のあるリクエストは 400 で拒否される。JNDI/LDAP は RMI の URL 参照を既定で自動処理せず、JAXP の TemplatesImpl のデシリアライズも既定で無効になった。

Other Notes core-libs/java.net ➜ HttpServer Validates the Host Request Header (JDK-8386525 (not public)) The com.sun.net.http.HttpServer has been updated to validate the Host request header as described in RFC 9112. HTTP/1.1 requests without a Host header or with multiple Host headers are now rejected with an HTTP 400 Bad Request response. The validation can be disabled by setting the system property sun.net.httpserver.disableHostValidation to true. core-libs/java.sql ➜ Clarification of WebRowSe…www.oracle.com

窓の杜 · 2026-10-20 Oracle、今年最後の「CPU」を実施 ～Java、VirtualBox、MySQLなどで1,295件のパッチ／四半期に一度の大規模定例セキュリティアップデート米Oracleは10月20日（現地時間、以下同）、四半期ごとの定例セキュリティアップデート（Critical Patch Update：CPU）を実施した。「Oracle Java SE」や「MySQL」、「Oracle VM VirtualBox」などの製品向けに、1,295件の新しいセキュリティパッチが提供されてい…

公式のリリース情報 · Java 27 の履歴 · Java まとめ