AI時代に適応する「Java 27」「Oracle JDK 27」 何が変わった？：セキュリティパッチは実質「月次」へ 企業が直面する課題

Oracleはプログラミング言語「Java」の最新版である「Java 27」とJava開発キット「Oracle JDK 27」の一般提供を開始した。パフォーマンスの改善や耐量子暗号（PQC）への対応など、次世代を見据えた重要なアップデートとして位置付けている。

[＠IT]

　Oracleは2026年9月15日（米国時間）、プログラミング言語「Java」の最新版である「Java 27」とJava開発キット「Oracle JDK 27」の一般提供を開始した。

　パフォーマンスの改善や耐量子暗号（PQC）への対応、AIワークロードの最適化など、次世代のエンタープライズ基盤を見据えたJEP（JDK Enhancement Proposal：機能拡張提案）が組み込まれている。

「Java 27」「Oracle JDK 27」で何が変わった？　主な変更点

　OracleはJava 27およびOracle JDK 27の主な更新点として、9件の主要なJEPの内容を次のように説明している。

JEP 527：TLS 1.3用耐量子暗号ハイブリッド鍵交換

　TLS 1.3通信においてPQCハイブリッド鍵交換に対応し、将来の量子コンピュータで解読するために暗号化データをあらかじめ保存しておく「今すぐ収集、後で復号」（HNDL：Harvest Now, Decrypt Later）という脅威に対する保護が強化された。

JEP 538：暗号化オブジェクトのPEMエンコーディング（第3プレビュー）

　広く使用されている暗号資産や証明書情報をより安全に取り扱えるようにし、一般的なセキュリティツールや最新の認証システムとの相互運用性が向上した。

JEP 536：JFRインプロセス・データリダクション

　JFR（JDK Flight Recorder）の診断記録から環境変数やシステムプロパティといった機密情報を自動的に秘匿し、本番システムのトラブルシューティングをより安全に実施できるようになった。

JEP 537：Vector API（第12インキュベーター）

　特殊なネイティブコードを記述することなくSIMD（単一命令・複数データ）計算を実行可能にし、AI推論やデータ分析、科学技術計算における処理スループットが向上した。

JEP 533：構造化された並行性（第7プレビュー）

　複数の並行タスクを一括して管理し、エラー処理やキャンセル処理、可観測性を改善することで、並列AIワークフローやマイクロサービスの開発リスクが低減された。

JEP 532：パターン、instanceofおよびswitchのプリミティブ・タイプ（第5プレビュー）

　プリミティブ型においてもパターンマッチングが利用可能となり、データ集約型アプリケーションやAI推論処理におけるコードの明確化とエラー削減が実現された。

JEP 531：遅延定数（第3プレビュー）

　定数のパフォーマンスや正確性を維持しつつ初期化タイミングの制御を可能にし、AIアプリケーションなどにおける起動応答性とリソース効率が向上した。

JEP 534：コンパクトなオブジェクトヘッダをデフォルト（既定）で有効化

　JVM（Java 仮想マシン）のオブジェクトヘッダが96bitから64bitへと縮小・デフォルト化され、ヒープ使用量が10〜20％削減されるとともにスループットが5〜10％向上した。

JEP 523：全ての環境でG1をデフォルトのガベージコレクタにする

　小規模な実行環境を含め全環境で「G1GC」がデフォルトとなり、クラウドやマイクロサービス環境全体で統一された予測可能なパフォーマンスが提供されるようになった。

パッチは「四半期」から実質「月次」へ　企業が直面する課題

　Oracleは現在、四半期ごと（1月、4月、7月、10月）に提供してきたクリティカルパッチ・アップデート（CPU）に加え、四半期更新がない月（各月の第3火曜日）にターゲットを絞ったクリティカルセキュリティパッチを提供する「CSPU」を順次導入している。これにより、実質的なセキュリティ更新サイクルは「月次ベース」へと短縮されつつある。

　背景にあるのが、AI技術の発展だ。サイバー攻撃の手法が高度化・自動化し、攻撃者が新しい脆弱（ぜいじゃく）性を発見してから攻撃コードを展開するまでのリードタイムが劇的に縮小している。CSPUは脆弱性にさらされるリスク期間を短縮するための施策だが、企業にとっては「毎月のパッチ適用に伴う検証工数増加」が懸念される。

Oracle ドナルド・スミス氏

　発表に先立ちメディア向けに開催された事前説明会で、「検証工数増加の課題に対し、毎月のパッチ適用を現実的に進めるために、どのような支援を想定しているか」を尋ねたところ、Oracle Java Platform プロダクトマネジメント担当バイスプレジデントのドナルド・スミス氏は、「運用担当者やセキュリティ担当者の工数が増える可能性はある」と率直な懸念を認めた上で、企業が新しいパッチ適用ペースに順応できるよう、2027年にかけて段階的な移行を進めること、利用者には高度な検証を実施した「高品質なパッチ」が提供されることを強調した。

　「クラウド環境ではオートメーションツールを活用すればパッチ適用プロセスを自動化できる。一方、オンプレミスやデスクトップなどのレガシー環境ではパッチ適用の課題が残る可能性を認識している」（スミス氏）

　同社は「Java Management Service」（JMS）などの管理ツールを通じて環境全体の可視化やリスク追跡機能を提供しており、今後はフィードバックを踏まえながら、運用支援策の拡充を進めていきたいとしている。