Java 近期资讯：JDK 28 发布马德里、Oracle 关键补丁、eMudhra 证书、Apache POI、WildFly、Azul 与 BellSoft

2026 年 10 月 19 日这一周的 Java 新闻包括：JDK 28 的拟议发布日程、eMudhra 中间 CA 证书泄露事件、2026 年 10 月关键补丁更新、Azul 和 BellSoft 的关键补丁更新、WildFly 42 和 Apache POI 6.0 正式发布、Open Liberty 26.0.0.11 测试版发布，以及 Micronaut 和 JobRunr 的维护版本发布。 作为 2026 年 10 月季度 关键补丁更新公告 "的一部分，Oracle 发布了 JDK 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u511。有关此次发布的更多详情，可参阅 25.0.5 版本 "、 21.0.13 版本 "、 17.0.21 版本 "、 11.0.33 版本 "和 8u511 版本 "的发布说明。 JDK 28 早期访问构建版 "的 第 21 个构建版 "于上周发布。与第 20 个构建版相比，它包含多项 更新 "，其中包括对多个 问题 "的修复。有关此次发布的更多详情，可参阅 发布说明 "。 Oracle Java 平台组首席架构师 Mark Reinhold " 正式 提议 "了以下 JDK 24 发布日程： 第一阶段功能冻结（从主线分支）：2026 年 12 月 3 日第二阶段功能冻结：2027 年 1 月 14 日首个候选发布版：2027 年 2 月 4 日最终候选发布版：2027 年 2 月 16 日正式发布：2027 年 3 月 9 日 该拟议日程的评审期预计于 2026 年 10 月 29 日结束。 对于 JDK 28 "，开发者可以通过 Java Bug Database " 报告错误。 Mozilla 披露 "， eMudhra " 中间证书颁发机构（CA）证书的八把私钥已遭泄露。这意味着，持有任何一张受影响的中间 CA 证书私钥的攻击者，都可能冒充任意网站或服务。Mozilla 在描述应对措施时表示： 根证书计划及许多下游信任存储已经采取行动保护用户。这些证书自 10 月 17 日起已在 Firefox 和 Chrome 中被屏蔽，自 20 日起在微软平台上被屏蔽，自 22 日起在苹果产品上被屏蔽。 这一问题已于 10 月 19 日负责任地披露给下游信任存储的维护方。许多维护方已经发布更新，或正在发布更新。 其他供应商也对这次泄露事件作出回应，包括发布了这份 安全警报 "的 Oracle，以及 BellSoft（见下文）。 有关此次泄露事件的更多详情，可参阅 InfoQ 的这篇 新闻报道 "。 在 Oracle 发布 2026 年 10 月 关键补丁更新 "（CPU）的同时，Azul 也为其 OpenJDK 下游发行版 Azul Zulu " 的 JDK 27、25、21、17、11、8、7 和 6 版本 发布 "了 2026 年 10 月关键补丁。 这些补丁涵盖 53 个 CVE "，并包含一次旨在应对上述 eMudhra 中间 CA 证书泄露事件的“周期外”更新。Azul 在说明该事件为何恰好发生在 Oracle 2026 年关键补丁发布一天后时表示： Java 使这个问题比听起来更严重：它默认不检查证书是否已被吊销。在 JDK 自身屏蔽这些证书之前，Java 应用会将使用这些私钥签发的伪造证书视为有效证书。披露当天没有补丁，而下一次季度发布要等到 1 月。 但仅仅一天后，原有措施就已不够：出现了季度发布日程不可能预见的零日漏洞。10 月 21 日，Azul 为此发布了周期外更新。 自原始博客文章发布以来，更新的较新版本已发布在 这里 "。 BellSoft 也为其 OpenJDK 下游发行版 Liberica JDK " 的 25.0.4.1.1、21.0.12.1.1、17.0.20.1.1、11.0.32.1.1、8u511、7u521 和 6u521 版本 发布 "了关键补丁，以解决这份 CVE 列表 "中的问题。此外，包含关键补丁和非关键性修复的补丁集更新（PSU）版本 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u512 也已发布。 BellSoft 表示，各版本总共包含 1438 项修复和向后移植，他们参与解决了其中的 144 个问题。 WildFly " 42 的 发布 "带来了错误修复、依赖升级和新功能，包括：其 Jakarta Concurrency 规范实现支持虚拟线程；以及在使用 WildFly Elytron " 的 token-realm 安全组件时，可以通过配置主体转换器（例如 case-principal-transformer "），在从 JSON Web Token 获取的 Java Principal " 接口实例传递给受保护应用之前对其进行转换。有关此次发布的更多详情，可参阅 发布说明 "。 用于处理微软文档的 Java API Apache POI " 6.0.0 正式发布 "，带来了依赖升级和新功能，包括：最低 JDK 版本要求提高至 17；更新 DataFormatter " 类中定义的 useCachedValuesForFormulaCells() 方法，使其默认使用公式单元格的缓存值；以及移除已弃用的方法。有关此次发布的更多详情，可参阅 发布说明 "。 Open Liberty " 26.0.0.11 测试版 "带来了几项值得关注的变化，包括： JWT Builder " 在生成的 JWT 中支持工作负载身份和 JWK 轮换，使 JWT 使用方能够识别生成令牌的工作负载或应用；可以通过 quiesceTimeout 元素配置服务器静默阶段的超时时间，而该时间此前固定为 30 秒；以及预览以 Netty 为基础的新 HTTP 传输实现，作为底层传输机制的内部替换。 Micronaut " 5.2.3 的 发布 "通过 Micronaut Core 5.2.17 " 和 Micronaut Security 5.4.1 " 解决了 10 个 CVE。以下模块也发布了补丁更新： Micronaut Data "、 Micronaut Object Storage " 和 Micronaut Serialization "。有关此次发布的更多详情，可参阅 发布说明 "。 JobRunr " 9.0.2 发布了错误修复和两项新功能：重构 Quarkus 的 JobRunrStarter " Bean，使其可以被替换；以及使用供应器获取 SQL 查询参数的值。有关此次发布的更多详情，可参阅 发布说明 "。 原文链接： https://www.infoq.com/news/2026/10/java-news-roundup-oct19-2026/ "