Oracle Javaの10月更新をIPAが注意喚起｜自社システムのJavaは誰が更新する？発注者が開発会社に確認する5つのこと

2026年10月21日

2026年10月21日、IPA（情報処理推進機構）が「Oracle Java の脆弱性対策について（2026年10月）」を公表しました。Javaは業務システムの裏側で広く使われているため、「うちのシステムも関係あるのだろうか」と気になる方も多いはずです。

「Javaの更新を促すお知らせが出たけれど、うちの業務システムは大丈夫？誰に何を聞けばいいの？」

先に結論をお伝えします。稼働中のシステムをただちに止める必要はありません。ただし、自社のシステムがJavaで動いているか、動いているなら「どのJavaを」「誰が」「いつ」更新するかを、今週中に開発会社へ確認しておくのがおすすめです。

この記事では、公表内容の要点、発注者にとって何が変わる（変わらない）のか、そのまま使えるチェックリストと開発会社への質問例をまとめます（2026年10月21日時点の情報です）。

IPAの注意喚起の要点（2026年10月21日時点）

IPAは、Oracle社が公表したJavaのセキュリティ更新プログラムについて、悪用されるとアプリケーションの異常終了や、攻撃者による端末の制御といった被害のおそれがあるとして、早急な適用を呼びかけています。

📰 出典：IPA「Oracle Java の脆弱性対策について（2026年10月）」

IPAのページに挙がっている対象製品は、Oracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503（および 8 Update 503-perf）です。つまり、古い版の Java 8 や 11 を使い続けているシステムも、更新の対象に含まれています。

IPAはあわせて次の対応を挙げています。

Oracle社の最新版のJavaに更新する
2019年4月16日以降のリリースはライセンスが変更されているため、商用利用する組織はライセンスを確認し、必要に応じて有償サポートの利用などを検討する
使用中のソフトウェアが最新かどうかは「MyJVNバージョンチェッカ」で確認できる

なお、個々の脆弱性の番号や深刻度は、Oracle社の公式情報（Critical Patch Update Advisory – October 2026）で確認する形になっています。

発注者にとって何が変わるか／変わらないか

ここからは、公表内容をもとにした筆者の見解です（事実と区別してお読みください）。

項目	変わること	変わらないこと
更新の優先度	Javaを使うシステムは、今回の更新を適用するかどうかの判断が必要になる	稼働中のシステムをすぐ止める必要はない
費用	更新作業・動作確認の工数が発生することがある	保守契約に含まれる範囲は契約書で決まる（契約次第）
責任の所在	「誰が更新するか」を決めていないと、更新が止まりやすい	開発会社と発注者のどちらが悪いという話ではない

ポイントは、Javaそのものが問題なのではなく、「更新する担当と手順が決まっているか」が問われていることです。