昨日あたりにJava SE Runtime Environment (JRE)の6u19がでました。今回のはセキュリティ関連の更新も含まれているようです。早速、会社で試してみたところ、とあるJavaアプレットのロード時に、Java HotSpotクライアントが署名付きと無しのが混合しているから危ないぞ。と以下のような警告を出すようになってしまいました。
警告−セキュリティ
危険である可能性のあるコンポーネントは実行しないでください。（推奨）
アプリケーションに署名付きと署名なしの両方のコードが含まれています。
アプリケーションのベンダーに問い合わせて、アプリケーションが修正されていないことを確認してください。
リリースノートによると
署名付きコードと署名なしコードの混在時におけるアプリケーションおよびアプレットのセキュリティー保証
署名付きコンポーネントと署名なしコンポーネントを含む署名付き Java Web Start アプリケーションおよびアプレットは、その混在したコードがアプリケーションベンダーによって意図されたものでない場合、潜在的に危険なものでした。このリリースでは、プログラムに混在したコードが検出された場合、警告ダイアログが表示されます。
という機能がこのアップデートから適用されるようになったそうです。で、この警告のオプションの詳細ですがこちらのページにありまして、見ると回避方法も載っています。日本語版ではJavaコントロールパネルの詳細タブの中にあるセキュリティの混合モードがそれです。
会社の社内のシステムでもうだいぶ前に開発もサポートも終了したJavaアプレットですので今さらどうしようもなく、クライアント側の設定で回避するしかない状況です。とりあえず設定を「検証を無効にする（非推奨）」にしておくことにしました。これが外のインターネットにつながるマシンなら危ないんでしょうけど。
セキュリティ関連のアップデートが含まれているからJREを更新したいけれども、逆にセキュリティをあまくしないと使えない状況。今後もJREの更新はあるわけで古いバージョンにとどまっておくのも問題ありと考えますので、上記設定でしのぐしかない感じです。
