Java生态更新：JDK 28迭代及多项组件发布

2026年10月19日当周，Java生态集中发布多项版本与安全更新，涉及JDK、证书安全、应用服务器、文档处理库及多个开发框架。JDK 28早期访问版更新至第21构建，主要包含稳定性、兼容性等问题修复，开发者可通过Java Bug Database提交缺陷。

Oracle在季度关键补丁更新中发布JDK 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33和8u511，覆盖多个长期支持版本。Java平台组还提出下一阶段版本日程：2026年12月3日首次功能冻结，2027年1月14日二次冻结，2月4日首个候选版、2月16日最终候选版，正式版计划于3月9日发布，评审预计10月29日结束。

Mozilla披露，eMudhra八把中间CA证书私钥遭泄露，攻击者可能借此伪造任意网站或服务的证书。相关证书已于10月17日起被Firefox和Chrome屏蔽，10月20日起被微软平台屏蔽，10月22日起被苹果产品屏蔽。Azul随后为Zulu JDK 27、25、21、17、11、8、7和6发布覆盖53个CVE的补丁，并于10月21日推出周期外更新。

BellSoft则为Liberica JDK 25.0.4.1.1、21.0.12.1.1、17.0.20.1.1、11.0.32.1.1、8u511、7u521和6u521发布安全修复，同时提供包含关键及非关键修复的PSU版本27.0.1、25.0.5、21.0.13、17.0.21、11.0.33和8u512。相关版本合计包含1438项修复和回移植，其中144项由BellSoft参与处理。

WildFly 42加入虚拟线程支持，并改进Elytron token-realm，可在JWT中的Java Principal交给应用前通过主体转换器进行处理。Apache POI 6.0.0将最低JDK要求提升至17，DataFormatter默认读取公式单元格缓存值，并移除已弃用方法。

Open Liberty 26.0.0.11测试版支持JWT Builder中的工作负载身份和JWK轮换，可配置quiesceTimeout静默超时，并预览基于Netty的新HTTP传输。Micronaut 5.2.3通过Core 5.2.17和Security 5.4.1修复10个CVE，Data、Object Storage和Serialization模块也同步更新；JobRunr 9.0.2修复问题，并支持替换Quarkus JobRunrStarter Bean及通过供应器获取SQL参数。