Java News Roundup: JDK 28 Schedule, Oracle CPUs, eMudhra Certs, Apache POI, WildFly, Azul, BellSoft

Java 新闻速递：JDK 28 时间表、Oracle CPU、eMudhra 证书、Apache POI、WildFly、Azul、BellSoft - InfoQ

InfoQ 首页新闻 Java 新闻速递：JDK 28 时间表、Oracle CPU、eMudhra 证书、Apache POI、WildFly、Azul、BellSoft

Java

扩展 OpenTelemetry：管理收集器、配置和成本（11 月 19 日网络研讨会）

Java 新闻速递：JDK 28 时间表、Oracle CPU、eMudhra 证书、Apache POI、WildFly、Azul、BellSoft

2026 年 10 月 26 日 5 分钟阅读

作者：

• Michael Redlich

#### 关注我们

YouTube

232K 粉丝

LinkedIn

26K 粉丝

Instagram

新

RSS

19K 读者

X

57.1k 粉丝

Facebook

21K 喜欢

Bluesky

收听本文 -

0:00

音频准备就绪

您的浏览器不支持音频元素。

正常

1.25x

1.5x

喜欢

新下拉阅读列表

• 阅读列表

2026 年 10 月 19 日的 Java 新闻速递包括：JDK 28 的计划发布时间表；eMudhra 中间 CA 证书泄露事件；2026 年 10 月关键补丁更新；Azul 和 BellSoft 的 CPU；WildFly 42 和 Apache POI 6.0 的 GA 发布；Open Liberty 26.0.0.11 的 Beta 版本发布；以及 Micronaut 和 JobRunr 的维护版本发布。

#### OpenJDK

Oracle 在 2026 年 10 月的季度关键补丁更新公告中发布了 JDK 的 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u511 版本。有关此版本的更多细节，请参阅 25.0.5 版本说明、21.0.13 版本说明、17.0.21 版本说明、11.0.33 版本说明 和 8u511 版本说明。

#### JDK 28

上周发布了 JDK 28 的早期访问构建第 21 版，包含从第 20 版更新的多项问题修复。有关此版本的更多细节，请参阅版本说明。

Oracle Java 平台集团首席架构师 Mark Reinhold 正式提出 JDK 24 的发布时间表如下：

• 降级阶段一（从主分支分叉）：2026 年 12 月 3 日

• 降级阶段二：2027 年 1 月 14 日

• 初始候选版本：2027 年 2 月 4 日

• 最终候选版本：2027 年 2 月 16 日

• 一般可用版本：2027 年 3 月 9 日

该计划时间表的审查期预计将在 2026 年 10 月 29 日结束。

对于 JDK 28，鼓励开发人员通过 Java Bug 数据库提交错误报告。

#### eMudhra 中间 CA 证书

Mozilla 披露了 eMudhra 中间证书颁发机构（CA）的 8 个私钥已被泄露。这意味着攻击者持有任何被泄露的 CA 中间证书私钥后，可以伪装任何网站或服务。Mozilla 表示：

根程序和许多下游信任存储已采取行动保护用户。自 10 月 17 日起，这些证书已在 Firefox 和 Chrome 中被阻止，Microsoft 平台自 10 月 20 日起，Apple 产品自 10 月 22 日起也被阻止。该问题已于 10 月 19 日负责任地披露给下游信任存储。许多厂商已发布更新或正在发布更新。

此次泄露事件后，其他厂商也做出了响应，包括 Oracle 发布了此安全警报和 BellSoft（见下文）。

有关此次泄露事件的更多细节，请参阅 InfoQ 的这篇新闻报道。

#### Azul

与 Oracle 2026 年 10 月关键补丁更新（CPU）同步，Azul 已为其 Azul Zulu 的 JDK 版本 27、25、21、17、11、8、7 和 6 发布了 2026 年 10 月的 CPU 补丁，这是其 OpenJDK 的下游发行版。此次更新覆盖了 53 个 CVE 漏洞，并包含一项“非周期性更新”，用于解决前述被入侵的 eMudhra 中间 CA 证书问题。Azul 表示，此次漏洞事件发生在 Oracle 2026 年 CPU 发布后仅一天，情况如下：

Java 使问题比听起来更严重：默认情况下不会检查证书吊销状态。在 JDK 本身未阻止这些证书之前，Java 应用程序会将使用这些密钥签发的欺诈性证书视为有效。披露当天没有补丁，且下一次季度更新要到 1 月才会发布。不到一天时间，问题就变得更为紧迫：一个零日漏洞出现，任何季度计划都无法应对，因此 Azul 于 10 月 21 日发布了针对该漏洞的非周期性更新。

自原始博客文章发布以来，更新的最新版本可在此处找到。

#### BellSoft

BellSoft 也为其 Liberica JDK 的版本 25.0.4.1.1、21.0.12.1.1、17.0.20.1.1、11.0.32.1.1、8u511、7u521 和 6u521 发布了 CPU 补丁，这是其 OpenJDK 的下游发行版，用于修复上述 CVE 漏洞列表。此外，还发布了包含 CPU 和非关键修复的补丁集更新（PSU）版本 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u512。

BellSoft 表示，此次更新共包含 1438 项修复和回溯，参与解决了所有版本中的 144 个问题。

#### WildFly

WildFly 42 的发布带来了错误修复、依赖项升级和新功能，例如：在 Jakarta Concurrency 规范实现中支持虚拟线程；以及在使用 Wildfly Elytron token-realm 安全组件时，通过配置 principal transformer（如 case-principal-transformer）将从 JSON Web Token 获取的 Java Principal 接口实例转换为应用安全所需的 Principal。有关此版本的更多细节，请参阅发布说明。

#### Apache POI

Apache POI 6.0.0 的发布是用于 Microsoft 文档的 Java API，该版本带来了依赖项升级和新功能，例如：最低 JDK 17 版本要求；DataFormatter 类中定义的 useCachedValuesForFormulaCells() 方法现在默认使用公式单元格的缓存值；以及移除了已弃用的方法。有关此版本的更多细节，请参阅发布说明。

#### Open Liberty

Open Liberty 26.0.0.11 的 beta 版本提供了显著变更，例如：在生成的 JWT 中支持工作负载身份和 JWK 旋转，使 JWT 消费者能够识别生成 JWT 的工作负载或应用程序；通过 quiesceTimeout 元素配置服务器 quiesce 阶段的超时时间（此前固定为 30 秒）；以及一个新的基于 Netty 的 HTTP 传输的 beta 预览，作为底层传输的内部实现替代方案。

#### Micronaut

Micronaut 5.2.3 的发布解决了 Micronaut Core 5.2.17 和 Micronaut Security 5.4.1 中的 10 个 CVE 漏洞。此外，还对模块进行了补丁更新：Micronaut Data、Micronaut Object Storage 和 Micronaut Serialization。有关此版本的更多细节，请参阅发布说明。

#### JobRunr

JobRunr 9.0.2 版本发布包含错误修复和两个新功能：对 Quarkus JobRunrStarter bean 进行重构，使其可替换；以及使用供应商函数来获取 SQL 查询参数的值。有关此版本的更多详细信息，请参阅发布说明。

作者信息主容器

关于作者

章节标题

每位作者信息的主容器

#### Michael Redlich

显示更多

显示更少

#### 本内容属于 Java 主题

##### 相关主题：

• 开发
• 架构与设计
• Micronaut
• Azul
• JDK 28
• Open Liberty
• Apache POI
• Java
• 安全漏洞
• JBoss WildFly
• BellSoft
• JobRunr
• Open JDK
• 相关编辑内容
• 相关赞助商 AI 的物理约束：AI 如何重塑数据中心
• 相关赞助商 PostgreSQL 专为时间序列规模打造 无需牺牲性能即可使用 PostgreSQL 处理海量时间序列数据。了解 Tiger Data 如何实现高速数据摄入、快速查询和可扩展存储。了解更多

InfoQ 新闻简报

每周内容精选，每周二发送。加入超过 25 万名高级开发者的社区。查看示例

我们保护您的隐私。