Java脆弱性対策｜2026年10月のIPA注意喚起と対応方法

2026年10月21日、IPA（情報処理推進機構）が「Oracle Java の脆弱性対策について(2026年10月)」という注意喚起を出しました。Oracle社が定例のセキュリティ更新を公開したことを受けたもので、IPAは「攻撃された場合の影響が大きい」として、早めに更新するよう呼びかけています。

IPAの注意喚起（2026年10月）の内容

Oracle社は2026年10月20日（米国時間）に、定例のセキュリティ更新「Critical Patch Update（CPU）」を公開しました。Java（Oracle Java SE）に関する修正は55件で、そのうち49件は、ログインしなくてもネットワーク越しに悪用できるおそれがあるとされています。

IPAによると、悪用されると、アプリケーションが止まったり、パソコンを乗っ取られたりするおそれがあります。IPAが対象として挙げている版は次のとおりです。

なお、IPAの呼びかけは「推奨（おすすめ）」であり、法律で決められた義務ではありません。ただ、お客様の情報を扱うシステムであれば、放っておくのは大きなリスクです。

自社のJavaを確かめて、対応する5ステップ

1. Javaを使っているか確認する

   業務システム、Webサービス、パッケージソフトの中に入っていることがあります。わからなければ、開発会社や保守会社に「Javaを使っていますか？どの版ですか？」と聞くのがいちばん早いです。

2. 版と配布元を確認する

   サーバーやパソコンで java -version というコマンドを実行すると、版が表示されます。「Java(TM) SE」と出ればOracle製、「OpenJDK」と出れば、それ以外の会社が配っているJavaの可能性があります。

3. パソコンはMyJVNで確認する

   IPAのページでは、パソコンに入っているソフトの版を確かめられる「MyJVN バージョンチェッカ」も紹介されています。

4. Oracle JDKならライセンスを確認する

   Oracle製のJava 21などを仕事で使っている場合は、更新版のライセンス（利用条件）が変わった点を確認します（次の章）。

5. 最新の版に更新する

   テスト用の環境で動作を確かめてから、本番を更新します。使っていないパソコンのJavaは、削除するのがいちばん安全です。

要注意：Oracle JDK 21の更新版は、会社の本番システムでは無償で使えなくなりました

今回の更新では、ライセンス（利用条件）にも注意が必要です。Oracle社の案内をもとに、Oracle JDK 21を会社のシステムで無償のまま使ってきた場合の道すじを図にしました。

〜2026年9月21.0.12までNFTC：仕事でも無償

2026年10月20日〜21.0.13からOTN：本番は有償契約が基本

対応どれかを選ぶ有償契約／Java 25／OpenJDK

※NFTC＝仕事でも無償で使える条件。OTN＝本番での利用は基本的に有償契約が必要な条件です。

どれを選ぶ？ 状況別の対応方法

Oracle社と有償契約

今の版のまま、Oracleの更新版を使い続けられます。

向いているのは：すぐに版を変えられない、Oracleのサポートが必要な場合。

Oracle JDK 25に上げる

無償の条件で使える期間が長い方法です（2028年9月までの予定）。

向いているのは：Java 17・21からの移行で、動作確認ができる場合。

OpenJDKに切り替える

Eclipse Temurin、Amazon Correttoなど、無償で使えるJavaに替えます。

向いているのは：費用をおさえたい場合。配布元の更新期間も確認が必要です。

Javaのサポート期限（Oracle社）

Oracle社の有償サポートの期限は次のとおりです。長く使われるのは「LTS」と呼ばれる版です。

※通常サポート＝Premier Support、延長サポート＝Extended Support（Oracle社の呼び名）。これらはOracle社と契約している場合のサポートです。契約していない場合は、上のライセンスの話もあわせて考える必要があります。

おもな日付を順に並べると、次のようになります。

• 2026年9月
  Java 17の通常サポート終了。Oracle JDK 21の無償の条件（NFTC）の更新は21.0.12が最後
• 2026年10月20日
  Oracle社が定例更新（CPU）を公開。Java SEの修正は55件。Oracle JDK 21は21.0.13からOTNライセンスに
• 2026年10月21日
  IPAが注意喚起「Oracle Java の脆弱性対策について(2026年10月)」
• 2028年9月
  Java 21の通常サポート終了。Oracle JDK 25の無償の条件での更新が終わる予定
• 2029年9月
  Java 17の延長サポート終了
• 2030年12月
  Java 8の延長サポート終了

Node.js、Python、.NET、サーバーのOSなど、ほかの仕組みのサポート期限は「古いシステムの脆弱性対策」にまとめています。同じ週に出たNode.jsの更新は「Node.js脆弱性の対応方法」をご覧ください。

古いJava（8や11）からのバージョンアップは何をする？

同じ系統の中での更新（例：21.0.12 → 21.0.13）は、比較的小さな作業です。一方、Java 8から17・21・25へのように系統を上げる場合は、次のような点で手間がかかることがあります。

STEP 1現状の調査版と部品を洗い出す

STEP 2テストで確認別の環境で入れ替えて試す

STEP 3本番の切り替えすぐ戻せる準備をして

STEP 4見守りしばらくエラーを確認

期間や費用は、システムの大きさや古さで大きく変わるので、まず調査で見通しを立てるのがおすすめです。

放っておくと？ 対応すると？

開発会社・保守会社に聞いておきたいこと

• うちのシステムは、どの会社のJavaの、どの版を使っていますか？
• 2026年10月の更新には、いつ対応できますか？
• Oracle JDKの場合、ライセンス（契約）は今のままで大丈夫ですか？
• Java 25やOpenJDKへの切り替えは、どれくらいの作業になりますか？
• 使っているフレームワークや部品に、サポートが終わったものはありますか？

こんなときは、どうすればいい？

Digi Dinosにおまかせください

Digi Dinos（デジダイノス）は、ベトナムと日本に拠点をもつシステム開発会社です。創業から8年、150件以上のプロジェクトを手がけてきました。日本語ができるチームが対応します。

• 古いシステムの保守を引き継ぎ：Java、Node.js、PHP、Python、Ruby、.NETなど、主な言語に対応します。
• 新しい脆弱性への対応：今回のような更新が出たら、影響を調べて修正します。
• まるごとバージョンアップ：Javaの版、フレームワーク、サーバーやOSまで新しくします。
• 資料がなくても大丈夫：作った会社がいない、業務の仕組みがだれにもわからないシステムでも、プログラムを読んで調べ、資料を作り直し、計画をまとめてご提案します。
• 永久保証：私たちが手を入れた部分に不具合が見つかったら、責任をもって直します。保守契約を続けていただいている間は、期限を区切らずに保証します。

よくある質問