CVE-2026-59639

高 7.5CVE-2026-59639 · 03/08/2026 公開 · 28/08/2026 更新

要点

CVE-2026-59639 は bc-java (bouncycastle), bcpkix-fips (bouncycastle), bouncy castle for java lts (bouncycastle) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.24%（全脆弱性の 15.4% より高い）。
対処：1.85, 2.0.12, 2.1.12, 1.0.12 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
bc-java bouncycastle	`< 1.85`	`1.85`
bcpkix-fips bouncycastle	`≥ 2.0.7, < 2.0.12≥ 2.1.8, < 2.1.12< 1.0.12`	`2.0.122.1.121.0.12`
bouncy castle for java lts bouncycastle	`≤ 2.73.11`	修正版なし

概要

In Bouncy Castle for Java before 1.85, CMS verifySignatures returns true for SignedData with zero signers. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bcpkix-fips 1.0.12 (1.0.X series), 2.0.12 (2.0.X series) and 2.1.12 (2.1.X series).