Oracle は、Java 7 の今後のセキュリティ アップデートおよび将来リリースされるセキュリティ アップデートが Windows XP では動作しない可能性があるという噂を払拭しました。
「マイクロソフトのサポート終了発表以前にサポートされていたJavaのすべてのバージョンは、当面の間Windows XPで引き続き動作すると予想しています」と、オラクルのJavaプラットフォームグループ製品管理担当副社長ヘンリック・スタール氏は金曜日のブログ投稿で述べた。
「オラクルが発行するセキュリティアップデートは、今後もWindows XPデスクトップに配信され続けるだろう」と彼は語った。
Java 7の次期セキュリティアップデートは火曜日にリリースされ、認証なしでリモートから悪用される可能性のある20件のセキュリティ問題に対処します。オラクルは事前通知の中で、今回のアップデートで修正される脆弱性の中には、共通脆弱性評価システム（CVS）において最も深刻な評価（10.0）を受けているものもあると述べています。
マイクロソフトは4月8日にWindows XPの一般サポートを終了し、12年の歴史を持つこのOSのユーザーは将来のセキュリティアップデートにアクセスできなくなりました。これを受けて、オラクルも今年初めにWindows XPの公式サポートを終了すると発表しました。
「ユーザーは自己責任においてWindows XP上でJava 7アップデートを引き続き使用できますが、サポートはWindows Vista以降のMicrosoft Windowsリリースに対してのみ提供されます」と同社はJavaウェブサイトで述べた。
これを将来の Java 7 アップデートが Windows XP では動作しないことを意味すると解釈する人もいましたが、そうなると、Microsoft とのカスタム サポート契約の有無にかかわらず、現在もこの OS を使用している何千もの企業や組織にとって、セキュリティに重大な影響が及ぶことになります。
しかし、オラクルの発表が示唆するのは、Windows XPで問題を発見した顧客は、同社がパッチを開発できるよう、Windowsのそれ以降のバージョンでも問題を再現する必要があるということだとスタール氏は述べた。問題がWindows XPにのみ影響する場合、「オラクルはパッチや回避策を発行する義務はなく、また発行できない可能性もある」とスタール氏は述べた。
Java の脆弱性は、ドライブバイダウンロード攻撃においてハッカーの標的となることが多く、過去のレポートでは、Java がさまざまなビジネスアプリケーションに必要とされるエンタープライズ環境で依然として広く使用されていることが示されています。
もしオラクル社が Windows XP 向けの Java 7 セキュリティアップデートの提供を停止していたら、同 OS のユーザーは古い脆弱なバージョンのソフトウェアを使わざるを得なかっただろうが、スタール氏によれば、そんなことは起こらないだろうという。
「インターネットで読んだことをすべて鵜呑みにしてはいけない」と彼はブログ記事で述べ、Java 7のセキュリティアップデートが老朽化したOSでは機能しないという噂に言及した。Windows XPユーザーは、少なくとも2015年4月まではJava 7の自動セキュリティアップデートを受け取り続けると述べ、このバージョンではJavaの公開アップデートが停止される予定だと述べた。
「Windows XPにおけるJava 7アップデートの普及状況を引き続き監視していきます」とスタール氏は述べた。「その節目に近づいた時点でも利用率が高水準を維持している場合は、Javaユーザーの安全を守るための対策を講じます。」
Java 8 の場合、状況は異なります。Java 8 は Windows XP を公式にはサポートしておらず、手動による介入なしに OS を実行しているシステムにインストールすることはできません。
「この問題に対処する方法を検討中ですが、やめる可能性もあります。Windows XP を使用している場合、OS を更新せずに Java 8 にアップデートする価値があるかどうかは明らかではありません」と Stahl 氏は述べた。
