1. はじめに
Oracleでは、Oracle Database、WebLogic Server、Java SEをはじめとする各種製品に対し、定期的にセキュリティや不具合の修正パッチを提供しています。
従来から提供されている四半期ごとのCPU（Critical Patch Update）に加え、2026年5月よりCPUを補完する新たなセキュリティパッチとしてCSPU（Critical Security Patch Update）の提供が開始されました。
本記事では、CPUとCSPUの概要や違い、登場の背景について紹介します。
2. CPUとは
CPU（Critical Patch Update）は、Oracleが四半期ごと（1月、4月、7月、10月）に提供しているセキュリティパッチです。
CPUにはセキュリティ脆弱性の修正が含まれており、対象製品ごとに不具合修正などもあわせて提供されています。
これまでは、この四半期ごとのCPUがOracle製品における主要なセキュリティパッチ提供の仕組みとなっていました。
3. CSPUとは
CSPU（Critical Security Patch Update）は、2026年5月から提供が開始された新しいセキュリティパッチです。
高リスクなセキュリティ脆弱性への対応を目的としており、従来から提供されている四半期ごとのCPUを補完する位置付けのパッチとして提供されています。
CPUが複数の修正を含む累積パッチであるのに対し、CSPUは高優先度のセキュリティ脆弱性への対応に対象を絞って提供されます。
また、修正対象を限定した小規模なパッチとすることで、適用時の影響を抑えながら迅速なセキュリティ対応を実現することを目的としています。
CSPUの主な特徴は以下のとおりです。
・ 高リスクの脆弱性を対象
優先度の高いセキュリティ脆弱性への対応を目的としています。
・ 小規模かつ影響範囲を限定した形で提供
通常のCPUと比較し、修正対象を限定した小規模なパッチとして提供されます。修正範囲を限定することで、適用時の影響を最小限に抑え、迅速なセキュリティ対応を実現することを目的としています。
・ 迅速な提供
CSPUは、CPUが提供されない月における月次のセキュリティパッチとして提供されます。
ただし、毎月必ずリリースされるわけではなく、高リスクな脆弱性への対応が必要と判断された場合に提供されます。
次回のCPUを待たずに修正を提供することで、脆弱性が悪用されるリスクを早期に低減することを目的としています。
4. CPUとCSPUの違い
| 項目 | CPU | CSPU |
|---|---|---|
| 提供頻度 | 四半期（1、4、7、10月） | 月次（CPU提供月を除く、必要に応じて提供） |
| 目的 | 幅広い脆弱性への対応 | 高リスクなセキュリティ脆弱性への迅速な対応 |
| 修正対象 | 脆弱性、不具合修正 | 優先度の高い脆弱性に特化 |
CSPU適用時の注意点
CSPUの提供方式は製品によって異なります。基本的には個別パッチとして提供されますが、一部製品では一定期間の修正内容を含む累積パッチとして提供されるケースもあります。
そのため、適用する際はパッチに付属するREADMEを確認し、前提条件や依存関係、適用手順を事前に確認することを推奨します。
security alert について
CPU,CSPUによる対応を待てないほど緊急性の高い脆弱性が発見された場合には、Security Alertが公開されることがあります。Security Alertは次回のCPUやCSPUのリリースを待たずに提供される緊急対応用のパッチです。
5. なぜCSPUが登場したのか
近年、生成AIをはじめとするAI技術の進歩により、サイバー攻撃を取り巻く状況は大きく変化しています。
新しいAIモデルは、脆弱性情報の分析やソフトウェアの調査を以前よりも短時間で実施できるようになっています。
また、公開されたパッチを解析して修正内容を調査する「パッチのリバースエンジニアリング」や、複数の脆弱性を組み合わせた高度な攻撃手法の検討についても、AI技術の進歩によって効率化される可能性があると考えられます。
Oracleは、このようなAI技術の進歩によって脆弱性の調査や悪用が加速する可能性があると考えています。そのため、高リスクな脆弱性に対してより迅速に対応できるよう、四半期ごとのCPUを補完する仕組みとしてCSPUを導入しました。
また、OracleはAIモデル・プロバイダーと積極的に連携して脆弱性の検出と修正に取り組んでおり、その調査結果を標準のリリースおよびパッチ適用プロセスに組み込んでいます。
6. まとめ
2026年5月より、Oracleは新たなセキュリティパッチ提供方式としてCSPUの提供を開始しました。CSPUはCPUを補完する仕組みであり、高リスクな脆弱性に対して迅速な修正を提供することを目的としています。
特に近年は、AIの進歩などにより脆弱性の公開から悪用までの期間が短くなっており、高リスクな脆弱性に対する迅速な対応がこれまで以上に求められています。
Oracle製品を利用している場合は、CPUだけでなくCSPUについても定期的に確認し、適切なセキュリティ対策を継続していくことを推奨いたします。
CPUおよびCSPUで修正される脆弱性の詳細については、Critical Patch Updates, Critical Security Patch Updates, Security Alerts and Bulletinsより確認できます。
各脆弱性がどの製品に対して影響しているか、修正対象について公開されています。
公開情報では、各脆弱性の概要や深刻度（CVSSスコア）、影響を受ける製品およびバージョンなどを確認できますので、リリース時には自社環境への影響有無を是非ご確認ください。
参考情報
BIPROGYグループの技術への取り組み
We Are Hiring!