Java 8 Update 501にMacで更新

by

Macを使っていると、ときどき画面の隅からJavaの更新通知が出てきます。 このあいだも通知が出たので、案内にそってクリックしていったら更新が終わりました。 数分の作業でしたが、途中で出てくる画面をよく見ると、意外と知らないことが挟まっていました。

  • 「Update 501」は Java 8 の中の更新で、Java 17 や 25 への世代交代ではありません。
  • 個人の非商用利用は無償ですが、業務で使うには別のライセンスがいります。
  • 小さな番号の更新に見えて、中身には19件のセキュリティ修正や時刻データの入れ替えが含まれます。
  • 更新の頻度は、四半期ごとから月次へ近づいていく計画です。

関連記事

1. 「501」は Java 8 の中の更新

Macで作業していると、「A new version of Java is available!」という英語の画面が出てきました。 Java 8 Update 501 build 08 が公開され、いま入っているのは Update 491 build 10 だと書かれています。 Install Update を押すと、100.4MBのデータのダウンロードが始まりました。

数字だけ見ると、491から501へ、けっこう飛んだように感じます。 でも、これは Java 8 の枠の中での更新です。 Java には 8 のあとに 11、17、21、25 と世代があり、501 はあくまで「8 の中での更新」という位置づけ。 世代が上がったわけではありません。

正式なバージョン文字列は 1.8.0_501-b08 と書きます。 「501」が更新番号、「b08」がビルド番号です。 画面の 8u491-b10 から 8u501-b08 への変化は、この更新番号とビルド番号が進んだことを示しています1。

今回入れ替わるのは、主に JRE（Java Runtime Environment：Javaで書かれたアプリを動かすための実行環境）です。 開発ツールまで含んだ JDK（Java Development Kit：Javaでプログラムを作るための一式）とは目的が違い、Oracle も一般の利用者にはこちらのデスクトップ用 Java を案内しています。 普段パソコンでJavaを使う人が入れているのは、たいていこのJREのほうです2。

2. Javaは商用利用だと別のライセンスがいる

ダウンロードが終わると、「Javaへようこそ – 更新されたライセンス条項」という画面に切り替わりました。 更新のたびに条項を読み直すのは面倒ですが、ここには気になる一文があります。 「このバージョンの Java Runtime は、個人の（商用でない）デスクトップおよびラップトップの使用に限ってライセンスされます」。

つまり、無償で使えるのは個人の非商用の範囲まで、ということです。 会社の業務でこの Java を動かすなら、Oracle かソフトウェアベンダーから別のライセンスが必要になります。 Java 8 は 8u211 以降、OTN License Agreement（Oracle Technology Network使用許諾契約）という条件が適用され、個人利用や開発、テスト、試作、デモは無償ですが、業務での利用は通常この「個人利用」に入りません3。

では、会社のパソコンに入っている Java はすべて契約違反なのか。 そうとも限りません。 業務アプリを提供している会社が Oracle との契約の中に Java の使用権を含めている場合など、利用者が個別に契約しなくても使えるケースがあります。

だから「Javaは無料」とも「Javaは有料」とも、一律には言えません。 何に使うか、どこから配られたものか。 この二つで条件が変わります。

3. システム全体に入れるからパスワードを求める

「インストール」を押すと、今度は Mac のパスワードを求める画面が出ました。 MacJREInstaller という名前で、「続行するには、Java 8 Update 501 に権限が必要です」と表示されます。 アプリを一つ入れ替えるだけなのに、なぜ管理者のパスワードがいるのでしょうか。

Oracle の Java は、特定のユーザーの中だけでなく、システム全体の場所にインストールされるからです。 どのユーザーが使っても同じ Java が動くように、共通の領域へ置く。 そのため、macOS では管理者の権限が要求されます4。

パスワードを入れると、「Javaのインストール中…」の画面に変わり、緑色のバーが進んでいきました。 気をつけたいのは、この MacJREInstaller のパスワード要求そのものは正規の手順だという点です。 一方で、Java の更新を装った偽のポップアップや Web サイトも報告されています。 更新は Java 自身の通知か、java.com か Oracle の公式サイトから始め、発行元が Oracle であることを確かめる5。 そこだけ押さえておけば、慌ててパスワードを打つ場面は減ります。

インストールが終わると、「Java 8 Update 501 が正常にインストールされました」という画面になりました。 案内をよく読むと、Mac 本体の再起動は不要だと書いてあります。 ただし、更新の前から開いていたブラウザやアプリは、一度閉じて開き直す必要があります。 古い Java を読み込んだまま動いているアプリには、新しい Java がすぐには反映されないからです。

4. 小さな更新に19件の修正が入っている

番号が10進んだだけの更新に見えますが、501 の中身は意外と幅があります。 Oracle のリリースノートを見ると、セキュリティの修正だけでなく、時刻のデータや証明書、印刷の不具合まで含まれていました。

4.1. 「19件の脆弱性」がそのまま日常の危険ではない

2026年7月の Oracle の定例更新には、Java SE 向けに19件のセキュリティ修正が入っています。 このうち17件は、認証なしでネットワーク経由に悪用されうると評価され、深刻度の指標である CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）の最大値は7.8でした6。 数字だけ見ると、かなり物騒に感じます。

ただ、これは「Webサイトを見るだけで19件すべての攻撃を受ける」という意味ではありません。 Oracle の注記が想定しているのは、Webサービスから Java の API に細工したデータを渡すような場面や、Java Web Start、Java Applet を使う環境などです。 いまのブラウザは Java Applet を動かさないので、普通にサイトを見ているだけで直接狙われるわけではない。 とはいえ、塞がれる穴があるなら、更新しておくに越したことはないでしょう。

4.2. 時刻データや証明書も一緒に入れ替わる

501 で地味に大事なのが、プログラム本体以外の更新です。 たとえば IANA のタイムゾーンデータが 2026b に更新され、カナダ・ブリティッシュコロンビア州の夏時間の変更などが反映されました7。 Java で時刻を扱うアプリは、この地域データを元に「いまが夏時間かどうか」を判断するので、古いままだと表示がずれることがあります。

証明書まわりも入れ替わっています。 新しいルート認証局の証明書が追加され、証明書の失効リストをダウンロードする上限が20MiBに設定されました。 画像を扱う zlib、libpng、GIF 関連のライブラリも更新されています。

macOS に特有の修正も入りました。 2ページ目以降を指定して印刷するとページが欠ける不具合や、VoiceOver が一部の入力値をうまく読み上げない問題が直っています。 Javaの更新と聞くとプログラムの中身だけを想像しますが、時刻も、証明書も、印刷も、読み上げも対象になる。 更新のたびに100MB近くになるのも、これだけのものをまとめて入れ替えているからです。

4.3. 四半期ごとから月次へ近づく更新頻度

これまで Java の主要なセキュリティ更新は、1月、4月、7月、10月の四半期ごとでした。 今回の7月の更新も、その周期に沿ったものです。 ところが Oracle は、この間隔を狭めていく計画を出しています。

2026年8月18日には、重要な脆弱性向けの追加更新である CSPU（Critical Security Patch Update：重要脆弱性向けの追加更新）が予定されています。 さらに2027年には、月次に近い頻度へ移す計画も公表されました8。 更新の通知が出る回数は、これから増えていきそうです。

ひとつ困るのは、次回の更新日が公式ページの間で食い違っている点です。 8u501 のリリースノートは次回を8月18日としていますが、java.com の一部のページは10月20日と書いています。 移行の途中で、表記が追いついていないのかもしれません。 次はいつ、と決め打ちせず、そのつど Oracle の最新の案内を見るのが無難です。

更新通知をクリックしてから完了までは、数分の作業でした。 その数分の裏で、セキュリティの穴が塞がれ、世界のどこかの夏時間のデータが書き換わり、証明書が入れ替わっている。 何気なく押している「Install Update」のボタンは、思ったより多くのものを運んでいます。

  1. Oracleの統合リリースノートによると、8u501は2026年7月21日に公開され、正式なバージョン文字列は1.8.0_501-b08です。501が更新番号、b08がビルド番号を表します。 – Consolidated JDK 8 Release Notes
  2. JREはJavaアプリを動かす実行環境、JDKは開発ツールまで含んだ一式で、Oracleは一般の利用者にはデスクトップ用のJavaを案内しています。 – Download Java
  3. Oracle Java 8は8u211以降、OTN License Agreementが適用され、個人利用・開発・テスト・試作・デモは無償ですが、業務での使用には通常あてはまりません。 – Oracle JDK License General FAQs
  4. Oracle Javaはシステム全体にインストールされるためmacOSでは管理者権限が必要で、MacJREInstallerによるパスワード要求そのものは正規の更新手順です。 – macOSでのJDKのインストール
  5. Oracleはなりすましを避けるためjava.comや公式サイトからのダウンロードを推奨しており、macOSも署名や公証で発行元を検査します。 – Webサイトjava.comからJavaをダウンロードすることが推奨される理由
  6. 2026年7月のOracle定例更新はJava SE向けに19件の修正を含み、うち17件は認証なしでネットワーク経由に悪用されうると評価され、最大CVSSは7.8です。 – Oracle Critical Patch Update Advisory – July 2026
  7. 8u501ではIANAタイムゾーンデータが2026bへ更新されたほか、新しいルート証明書の追加、証明書失効リストの上限を20MiBに設定、macOSでの印刷欠落やVoiceOverの読み上げ不具合の修正も入っています。 – Consolidated JDK 8 Release Notes
  8. Oracleは2026年8月18日にCSPUを予定し、2027年には月次に近い頻度への移行を計画していると公表しています。 – Transitioning Java to more frequent security updates