Javaに弱点。更新はどこを見ればいい？

IPA（情報処理推進機構）は10月21日、Oracle Javaの脆弱性について、セキュリティー更新を早急に適用するよう呼びかけました。ただし、最新版を一つ入れたら、パソコンや会社のJavaがすべて更新されるとは限りません。実際に動いているものを確認することが大切です。

30秒のまとめ動画。くわしい内容と図解は、下の「Xで記事を読む」から。

30 sec

30秒でわかる、この速報

いつ: 2026年10月21日、IPAが注意喚起（日本時間）
だれが: Oracleが更新を提供し、IPAが注意喚起
なにを: Oracle Javaの脆弱性に対するセキュリティー更新
だれに関係する: 対象のOracle Javaを使う人、アプリやサーバーを管理する組織
お金の話: 利用条件やサポート契約により異なるため、商用利用ではライセンスも確認
やること: 使用場所と版を調べ、適切な更新を適用し、更新後の動作を確かめる

Points

おさえるところ

IPAは悪用された場合について「アプリケーションプログラムが異常終了する、攻撃者によってパソコンを制御される」と説明している。これは悪用された場合に起こり得る被害で、全員の端末が被害を受けたという発表ではない
IPAが対象に挙げたのは、Oracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503、8 Update 503-perf。注意喚起の対象として掲載された版で、修正済みの推奨版を並べたものではない
注意喚起は、あなたのパソコンが侵入済みだという通知ではない。JavaとJavaScriptは別の技術で、ブラウザーのJavaScript設定を変えても今回の更新にはならない
同じパソコンに複数のJavaがある場合がある。業務アプリに同梱されたJavaは、別の場所のJavaを更新しても変わらないことがある。「Javaを入れ直した」より「対象のアプリが使うJavaを更新した」を確認する
対策としてIPAが挙げているのは、Oracleが提供する最新版への更新。パスワードの変更やウイルス対策ソフトの更新は、Javaの弱点を修正することとは別の作業
Oracleのダウンロードページには、27.0.1.0.2、25.0.5.0.2、21.0.13などの更新が掲載されている。26系など、IPAの対象欄にあっても今回の更新表に対応版を載せていないものがあり、番号を推測せず製品のサポート状況を確認する
IPAは、とくに商用利用を行う組織へ、Oracleのライセンス確認を求めている。同ページはJDK 21のライセンスが2026年10月に変わり、21.0.13以降は以前の条件と大きく異なると案内し、JDK 27と25にはNFTCという無償利用条件を案内している
やることは3つ。使っているJavaの提供元、版、アプリ、担当者を確認する。公式情報と製品の対応条件に従って修正版へ更新する。実際の実行環境と主要機能を確認し、結果を記録する
管理者や開発者が使う確認の例は、端末のコマンド「java -version」。この結果だけで、パソコン内のすべてのJavaを確認したことにはならない。コマンドで見つからなくても、アプリの中にJavaが入っている場合がある
更新は弱点の修正であり、過去の侵入を調べる診断ではない。検索広告や、不意に届いた「Java更新」のリンクから実行ファイルを入手せず、公式サイトや利用製品の正式な更新経路から進める