JDK 28 确立 ZGC 自适应堆大小与结构化并发目标，Apache Camel 修复 38 个漏洞

一句话结论

JDK 28 锁定 ZGC 自适应堆大小与结构化并发等功能目标，Apache Camel 修复 38 个 CVE，需升级规避风险。

关键要点

• JEP 546《ZGC 自适应堆大小调整》与 JEP 545《使用 ZGC 加快启动和预热》已从 Proposed to Target 提升为 Targeted，目标版本均为 JDK 28。
• JEP 543《结构化并发》从 Proposed to Target 提升为 Targeted，目标版本为 JDK 28，此前历经七轮预览及两轮孵化。
• Apache Camel 修复 38 个 CVE，其中 13 个高危、25 个中危，官方建议升级至 4.23.0、4.22.1 或 4.18.5。
• 2026 年 10 月版 Azul Payara 7.5.0 发布，修复 CVE-2026-2586 与 CVE-2026-2587 两个远程代码执行漏洞。
• Google ADK for Java 1.12.0 重构 ContextCacheConfig 类，新增 Node、BaseNode、Start 实现类及 Edge 记录等工作流图类型。

背景与事实

在 Java 标准版演进方面，OpenJDK 将多项核心特性正式纳入 JDK 28 开发计划。JEP 546 提议增强 Z 垃圾收集器，使其能够根据可用资源、应用需求，以及争用相同资源的相邻应用的需求，自适应地调整堆大小。JEP 545 同样聚焦于 ZGC，旨在通过更快速、高效地获取和准备物理内存，改善应用的启动与预热性能。JEP 543《结构化并发》则通过引入新范式简化并发编程，将运行在不同线程中的一组相关任务视为一个工作单元，从而简化错误处理和取消操作、提高可靠性并增强可观测性。该特性从 JDK 21 到即将发布的 JDK 27 已经历七轮预览，并在 JDK 19 和 JDK 20 中经历两轮孵化，此次正式定稿标志着其成熟度得到认可。JDK 28 早期访问版的 Build 20 已于上周发布，包含多项更新与问题修复，官方鼓励开发者通过 Java Bug Database 报告缺陷。

在商业发行版与安全修复方面，Azul Payara 发布了 2026 年 10 月版 7.5.0，涵盖 Community Edition 7.2026.10、Enterprise Edition 6.43.0 和 Enterprise Edition 5.92.0。除缺陷修复和组件升级外，该版本允许 SSH 节点不再需要提升权限，并新增 delete-jvm-option 和 delete-system-properties 属性以便通过命令行管理配置。安全层面，此版本解决了两个远程代码执行漏洞：CVE-2026-2586 允许攻击者通过管理控制台发送恶意构造的请求执行任意操作系统命令；CVE-2026-2587 涉及服务器端模板渲染机制，攻击者可借此攻陷底层主机、读取或修改数据并建立持久化控制。Apache Camel 团队则宣布修复了影响多个组件的 38 个 CVE，其中 13 个高危、25 个中危。值得注意的是，这 38 个 CVE 中有 28 个由 Claude 在 Project Glasswing 中发现，另外 10 个由安全研究人员报告，官方强烈建议开发者升级至 4.23.0、4.22.1 或 4.18.5。

在开发工具与生态组件方面，Gatherers4j 0.15.0 带来了缺陷修复和新的统计类 Gatherer，包括 movingStatistics()、movingStatisticsBy()、runningStatistics() 和 runningStatisticsBy()，这些 Gatherer 会为每个元素生成 StatisticalSummary 记录实例。新增的 movingWeightedMean() 和 movingWeightedMeanBy() 支持使用线性权重或开发者提供的权重计算加权移动平均值。Yupiik Fusion 1.2.0 提供缺陷修复与文档改进，其中 CliDocumentationGenerator 类改用 CliLauncher 支持多分段选项标记，且 HandlebarsCompiler 类实现扩展使行为更接近 Handlebars，此项变更具有破坏性。

在 AI 开发框架方面，Google Agent Development Kit (ADK) for Java 1.12.0 重构了 ContextCacheConfig 类构造函数，以新增的 cacheIntervals 和 createHttpOptions 参数取代已弃用的 maxInvocations 参数，并加入 Node 接口、对应的 BaseNode 和 Start 实现类以及 Edge 记录等新工作流图类型。ADK for Kotlin 1.4.0 同样更新，新增 EdgesDsl 类用于构建工作流图，以及 ChatCompletions 类作为 OpenAI Chat Completions API 及兼容端点的模型后端。

影响分析

对于中文开发者而言，JDK 28 将 ZGC 自适应堆大小与结构化并发定为 Targeted 目标，意味着这些特性在后续版本中将更稳定，有助于降低并发编程复杂度并优化内存管理，建议关注预览版本以提前适配。Apache Camel 的 38 个 CVE 修复具有强制性，尤其是其中 13 个高危漏洞，使用相关组件的项目必须立即评估并升级至指定版本，避免被利用的风险。Azul Payara 修复的两个 RCE 漏洞涉及管理控制台与模板渲染，直接威胁服务器安全，运维人员需及时更新。ADK 框架的更新反映了 AI 应用开发趋势，Java 和 Kotlin 开发者在构建智能体工作流时可利用新的 DSL 和模型后端增强应用功能。这些变化共同提升了 Java 生态的安全性与开发效率，但同时也要求团队保持对版本更新的敏感度。

适用边界

JDK 28 的 Targeted 状态特性在正式发布前仍可能存在变更，基于早期访问版构建的生产系统需谨慎评估稳定性；Apache Camel 升级建议仅针对 4.23.0、4.22.1 或 4.18.5 版本，其他分支可能未包含全部修复；Azul Payara 的 CVE 修复仅限于 2026 年 10 月版 7.5.0，其他版本需单独确认；Gatherers4j 和 Yupiik 的破坏性变更要求用户仔细检查兼容性；ADK 的更新依赖于 OpenAI API 兼容性，使用其他模型提供商时需额外适配。

孤本观察

本次 JEP 目标化与 CVE 修复集中体现 Java 生态在性能与安全上的双重发力，AI 框架更新则显示开发工具正快速向智能化演进，这些趋势共同塑造着开发者的技术选型方向。

来源：InfoQ 中文 AI