Amazon Corretto 2026年10月四半期アップデートを試してみた
はじめに
2026年10月22日、Amazon Corretto の四半期アップデートの発表がありました。
前回、7月の四半期アップデートは下記で紹介しています。
今回は、ECR Public から 8 / 11 / 17 / 21 / 25 / 27 の最新イメージを pull して起動を確かめ、25 にバックポートされた TLS 1.3 のハイブリッド鍵交換（JEP 527）の動作を確認しました。
ECR Public からの取得と起動確認
イメージの取得
Corretto のイメージは、ECR Public の public.ecr.aws/amazoncorretto/amazoncorretto にあります。タグにはメジャーバージョンを指定します。25 の取得と起動確認には次のコマンドを使いました。ログインは不要でした。
docker pull public.ecr.aws/amazoncorretto/amazoncorretto:25
docker run --rm public.ecr.aws/amazoncorretto/amazoncorretto:25 java -version
java -version の出力で、取得したイメージのバージョンが 25.0.5.0.9 であることが分かります。
openjdk version "25.0.5" 2026-10-20 LTS
OpenJDK Runtime Environment Corretto-25.0.5.0.9 (build 25.0.5+9-LTS)
OpenJDK 64-Bit Server VM Corretto-25.0.5.0.9 (build 25.0.5+9-LTS, mixed mode, sharing)
起動確認の結果
2026年10月30日に aarch64 の Linux で、6つのタグを同じ手順で pull して java -version を実行しました。6つとも正常に起動しました。次の表は、各出力の Runtime 行から先頭の OpenJDK Runtime Environment を除いたものです。
| タグ | Runtime 行 |
|---|---|
| 8 | Corretto-8.512.08.1 (build 1.8.0_512-b08) |
| 11 | Corretto-11.0.33.0.9 (build 11.0.33+9-LTS) |
| 17 | Corretto-17.0.21.0.10 (build 17.0.21+10-LTS) |
| 21 | Corretto-21.0.13.0.10 (build 21.0.13+10-LTS) |
| 25 | Corretto-25.0.5.0.9 (build 25.0.5+9-LTS) |
| 27 | Corretto-27.0.1.0.10 (build 27.0.1+10-FR) |
TLS ハイブリッド鍵交換（JEP 527）の確認
CHANGELOG の記載
JEP 527 は、9月の記事で Corretto 27 を使って確認しました。
Corretto 25 の CHANGELOG には、25.0.5.0.9 の節（Release Date: October 20, 2026）があります。その節に JDK-8314323「Implement JEP 527: TLS 1.3 Hybrid Key Exchange」が載っています。
確認環境
サーバーの Dockerfile.server とクライアントの PqTlsCheck.java は、9月の記事で使ったものを元にしています。コードの全文は、9月の記事を参照してください。
サーバーは --network host のコンテナで用意しました。コンテナ内では、OpenSSL の s_server を、TLS 1.3 だけを有効にした状態でポート 4433 で起動しています。openssl version の出力は次のとおりでした。
OpenSSL 3.5.7 9 Jun 2026 (Library: OpenSSL 3.5.7 9 Jun 2026)
クライアントは、ECR Public から pull した 25 のイメージで動かしました。javac で PqTlsCheck.java をコンパイルし、同じイメージの java で実行しています。ハンドシェイクのデバッグログを出すため、実行時に -Djavax.net.debug=ssl:handshake を付けました。
mkdir -p work-tmp/cls
docker run --rm --user "$(id -u):$(id -g)" -v "$PWD/artifacts:/src:ro" -v "$PWD/work-tmp/cls:/cls" public.ecr.aws/amazoncorretto/amazoncorretto:25 javac -d /cls /src/PqTlsCheck.java
docker run --rm --network host -v "$PWD/work-tmp/cls:/cls:ro" public.ecr.aws/amazoncorretto/amazoncorretto:25 java -Djavax.net.debug=ssl:handshake -cp /cls PqTlsCheck localhost 4433
PqTlsCheck.java は証明書の検証を無効にした確認専用のコードです。アプリケーションには使わないでください。
確認結果
クライアント側の Java には、jdk.tls.namedGroups などの設定を指定していません。aarch64 の Linux で、OpenSSL 3.5.7 の s_server に1回接続し、デバッグログの ClientHello と ServerHello を確認しました。
X25519MLKEM768 は、TLS 1.3 のハイブリッド鍵交換で使うグループ（デバッグログ上の named group）です。ClientHello では、supported_groups でも key_share の client_shares でも、X25519MLKEM768 が先頭にありました。
"supported_groups (10)": {
"named groups": [X25519MLKEM768, x25519, secp256r1, secp384r1, secp521r1, x448, ffdhe2048, ffdhe3072, ffdhe4096, ffdhe6144, ffdhe8192]
},
"key_share (51)": {
"client_shares": [
{
"named group": X25519MLKEM768
ServerHello の key_share で選ばれた named group も X25519MLKEM768 でした。
"ServerHello": {
"cipher suite" : "TLS_AES_256_GCM_SHA384(0x1302)",
"extensions" : [
"supported_versions (43)": {
"selected version": [TLSv1.3]
},
"key_share (51)": {
"server_share": {
"named group": X25519MLKEM768
次は PqTlsCheck の出力の抜粋です。
Protocol: TLSv1.3
CipherSuite: TLS_AES_256_GCM_SHA384
SUCCESS: TLS handshake completed.
まとめ
Amazon Corretto 2026年10月四半期アップデートが予定通りリリースされています。
バージョンごとのアップデートの詳細は、各バージョンの CHANGELOG をご確認ください。
四半期アップデートにはバグ修正なども含まれています。計画的にアップデートに追従することをおすすめします。
