2026 年 10 月 19 日这一周的 Java 新闻包括：JDK 28 的拟议发布日程、eMudhra 中间 CA 证书泄露事件、2026 年 10 月关键补丁更新、Azul 和 BellSoft 的关键补丁更新、WildFly 42 和 Apache POI 6.0 正式发布、Open Liberty 26.0.0.11 测试版发布，以及 Micronaut 和 JobRunr 的维护版本发布。

作为 2026 年 10 月季度关键补丁更新公告"的一部分，Oracle 发布了 JDK 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u511。有关此次发布的更多详情，可参阅 25.0.5 版本"、21.0.13 版本"、17.0.21 版本"、11.0.33 版本"和 8u511 版本"的发布说明。

JDK 28 早期访问构建版"的第 21 个构建版"于上周发布。与第 20 个构建版相比，它包含多项更新"，其中包括对多个问题"的修复。有关此次发布的更多详情，可参阅发布说明"。

Oracle Java 平台组首席架构师 Mark Reinhold" 正式提议"了以下 JDK 24 发布日程：

第一阶段功能冻结（从主线分支）：2026 年 12 月 3 日第二阶段功能冻结：2027 年 1 月 14 日首个候选发布版：2027 年 2 月 4 日最终候选发布版：2027 年 2 月 16 日正式发布：2027 年 3 月 9 日

该拟议日程的评审期预计于 2026 年 10 月 29 日结束。

对于 JDK 28"，开发者可以通过 Java Bug Database" 报告错误。

Mozilla 披露"，eMudhra" 中间证书颁发机构（CA）证书的八把私钥已遭泄露。这意味着，持有任何一张受影响的中间 CA 证书私钥的攻击者，都可能冒充任意网站或服务。Mozilla 在描述应对措施时表示：

根证书计划及许多下游信任存储已经采取行动保护用户。这些证书自 10 月 17 日起已在 Firefox 和 Chrome 中被屏蔽，自 20 日起在微软平台上被屏蔽，自 22 日起在苹果产品上被屏蔽。

这一问题已于 10 月 19 日负责任地披露给下游信任存储的维护方。许多维护方已经发布更新，或正在发布更新。

其他供应商也对这次泄露事件作出回应，包括发布了这份安全警报"的 Oracle，以及 BellSoft（见下文）。

有关此次泄露事件的更多详情，可参阅 InfoQ 的这篇新闻报道"。

在 Oracle 发布 2026 年 10 月关键补丁更新"（CPU）的同时，Azul 也为其 OpenJDK 下游发行版 Azul Zulu" 的 JDK 27、25、21、17、11、8、7 和 6 版本发布"了 2026 年 10 月关键补丁。

这些补丁涵盖 53 个 CVE"，并包含一次旨在应对上述 eMudhra 中间 CA 证书泄露事件的“周期外”更新。Azul 在说明该事件为何恰好发生在 Oracle 2026 年关键补丁发布一天后时表示：

Java 使这个问题比听起来更严重：它默认不检查证书是否已被吊销。在 JDK 自身屏蔽这些证书之前，Java 应用会将使用这些私钥签发的伪造证书视为有效证书。披露当天没有补丁，而下一次季度发布要等到 1 月。

但仅仅一天后，原有措施就已不够：出现了季度发布日程不可能预见的零日漏洞。10 月 21 日，Azul 为此发布了周期外更新。

自原始博客文章发布以来，更新的较新版本已发布在这里"。

BellSoft 也为其 OpenJDK 下游发行版 Liberica JDK" 的 25.0.4.1.1、21.0.12.1.1、17.0.20.1.1、11.0.32.1.1、8u511、7u521 和 6u521 版本发布"了关键补丁，以解决这份 CVE 列表"中的问题。此外，包含关键补丁和非关键性修复的补丁集更新（PSU）版本 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u512 也已发布。

BellSoft 表示，各版本总共包含 1438 项修复和向后移植，他们参与解决了其中的 144 个问题。

WildFly" 42 的发布"带来了错误修复、依赖升级和新功能，包括：其 Jakarta Concurrency 规范实现支持虚拟线程；以及在使用 WildFly Elytron" 的 token-realm 安全组件时，可以通过配置主体转换器（例如 case-principal-transformer"），在从 JSON Web Token 获取的 Java Principal" 接口实例传递给受保护应用之前对其进行转换。有关此次发布的更多详情，可参阅发布说明"。

用于处理微软文档的 Java API Apache POI" 6.0.0 正式发布"，带来了依赖升级和新功能，包括：最低 JDK 版本要求提高至 17；更新 DataFormatter" 类中定义的 useCachedValuesForFormulaCells() 方法，使其默认使用公式单元格的缓存值；以及移除已弃用的方法。有关此次发布的更多详情，可参阅发布说明"。

Open Liberty" 26.0.0.11 测试版"带来了几项值得关注的变化，包括：JWT Builder" 在生成的 JWT 中支持工作负载身份和 JWK 轮换，使 JWT 使用方能够识别生成令牌的工作负载或应用；可以通过 quiesceTimeout 元素配置服务器静默阶段的超时时间，而该时间此前固定为 30 秒；以及预览以 Netty 为基础的新 HTTP 传输实现，作为底层传输机制的内部替换。

Micronaut" 5.2.3 的发布"通过 Micronaut Core 5.2.17" 和 Micronaut Security 5.4.1" 解决了 10 个 CVE。以下模块也发布了补丁更新：Micronaut Data"、Micronaut Object Storage" 和 Micronaut Serialization"。有关此次发布的更多详情，可参阅发布说明"。

JobRunr" 9.0.2 发布了错误修复和两项新功能：重构 Quarkus 的 JobRunrStarter" Bean，使其可以被替换；以及使用供应器获取 SQL 查询参数的值。有关此次发布的更多详情，可参阅发布说明"。

原文链接：

https://www.infoq.com/news/2026/10/java-news-roundup-oct19-2026/"