JDK 28 发布日程公布、eMudhra 证书泄露及 Apache POI 6.0 等 Java 生态关键动态汇总

一句话结论

Java 生态在 2026 年 10 月密集更新，JDK 28 日程明确，eMudhra 证书泄露引发紧急修补，Apache POI 6.0 将最低 JDK 要求提升至 17。

关键要点

• Oracle 正式提议 JDK 28 最终发布时间为 2027 年 3 月 9 日，评审期于 2026 年 10 月 29 日结束。
• Mozilla 披露 eMudhra 中间 CA 证书的 8 把私钥泄露，自 10 月 17 日起在 Firefox 和 Chrome 中被屏蔽。
• Apache POI 6.0.0 正式发布，最低 JDK 版本要求提高至 17，并移除已弃用方法。
• WildFly 42 发布，其 Jakarta Concurrency 规范实现支持虚拟线程，并增强 JWT 主体转换器功能。
• Micronaut 5.2.3 发布，通过核心模块更新解决了 10 个 CVE 漏洞。

背景与事实

2026 年 10 月 19 日当周，Java 技术社区发布了多项重要更新。首先，Oracle Java 平台组首席架构师 Mark Reinhold 正式公布了 JDK 28 的拟议发布日程。该日程包括 2026 年 12 月 3 日的第一阶段功能冻结、2027 年 1 月 14 日的第二阶段功能冻结、2027 年 2 月 4 日的首个候选发布版、2027 年 2 月 16 日的最终候选发布版，以及 2027 年 3 月 9 日的正式发布。JDK 28 早期访问构建版的第 21 个构建版也于该周发布，包含对多个问题的修复。对于 JDK 28 的相关错误，开发者需通过 Java Bug Database 进行报告。

安全方面，Mozilla 披露了 eMudhra 中间证书颁发机构（CA）证书的 8 把私钥泄露事件。这一泄露意味着攻击者可能冒充任意网站或服务。为应对此事，根证书计划及下游信任存储已采取行动：受影响证书自 10 月 17 日起在 Firefox 和 Chrome 中被屏蔽，自 10 月 20 日起在微软平台上被屏蔽，自 10 月 22 日起在苹果产品上被屏蔽。Oracle、Azul 和 BellSoft 等供应商也对此作出回应。Oracle 发布了 2026 年 10 月季度关键补丁更新，涵盖 JDK 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u511 版本。Azul 为其 OpenJDK 下游发行版 Azul Zulu 的多个版本发布了关键补丁，涵盖 53 个 CVE，并于 10 月 21 日发布了应对 eMudhra 事件的“周期外”更新。BellSoft 同样为 Liberica JDK 发布了关键补丁及补丁集更新，各版本共包含 1438 项修复，其中 BellSoft 参与了 144 个问题的解决。

在框架与库方面，WildFly 42 正式发布，主要更新包括错误修复、依赖升级以及新功能。其 Jakarta Concurrency 规范实现现在支持虚拟线程；在使用 WildFly Elytron 的 token-realm 安全组件时，支持通过配置主体转换器（如 case-principal-transformer）对从 JSON Web Token 获取的 Java Principal 实例进行转换。Apache POI 6.0.0 正式发布，用于处理微软文档的 Java API 更新带来多项变化：最低 JDK 版本要求提高至 17；DataFormatter 类中的 useCachedValuesForFormulaCells() 方法更新为默认使用公式单元格的缓存值；并移除了已弃用的方法。此外，Open Liberty 26.0.0.11 测试版发布，支持 JWT 构建器生成工作负载身份和 JWK 轮换，允许通过 quiesceTimeout 元素配置服务器静默阶段超时时间（此前固定为 30 秒），并预览了以 Netty 为基础的新 HTTP 传输实现。Micronaut 5.2.3 发布，通过 Micronaut Core 5.2.17 和 Micronaut Security 5.4.1 解决了 10 个 CVE，并更新了 Micronaut Data、Object Storage 和 Serialization 等模块。JobRunr 9.0.2 发布了错误修复，重构了 Quarkus 的 JobRunrStarter Bean 使其可被替换，并支持使用供应器获取 SQL 查询参数的值。

影响分析

此次系列更新对中文开发者具有直接且重要的影响。首先，Apache POI 6.0 将最低 JDK 版本要求提高至 17，这意味着依赖该库的项目若仍运行在 JDK 8 或 11 上，需立即规划 JDK 升级路径，否则将无法使用最新功能或修复安全漏洞。其次，eMudhra 证书泄露及后续的紧急补丁发布，凸显了 Java 应用在证书吊销检查方面的默认行为风险。Java 应用默认不检查证书是否已被吊销，因此使用伪造证书的攻击可能在 JDK 自身屏蔽证书前被有效利用。企业开发者必须确保及时部署 Azul、BellSoft 或 Oracle 的最新补丁，特别是 10 月 21 日的周期外更新，以防范零日漏洞。此外，WildFly 42 对虚拟线程的支持，表明 Jakarta EE 生态正在深度整合 Java 平台新特性，依赖 WildFly 的开发者应评估在并发密集场景下采用虚拟线程的可行性，以优化系统吞吐量。

适用边界

上述结论主要适用于直接依赖 Oracle、Azul、BellSoft 官方发行版或 WildFly、Apache POI 等核心组件的 Java 开发团队。对于使用容器化部署且未及时更新基础镜像的团队，需特别注意镜像中的 JDK 版本与补丁滞后问题。eMudhra 证书屏蔽措施在特定嵌入式或离线环境中可能因网络限制无法及时同步信任存储更新，此类场景需手动导出并更新证书包。WildFly 虚拟线程支持仅适用于 Jakarta Concurrency 规范实现场景，若项目使用其他并发模型或依赖旧版 Servlet 容器，则不受此更新直接影响。

孤本观察

本次更新集中体现了 Java 生态在安全响应速度与平台现代化之间的张力，从证书泄露到补丁发布的快速联动表明社区对零日漏洞的应对机制已趋于成熟，而 POI 与 WildFly 对 JDK 17 及虚拟线程的强制或支持，则预示低版本 JDK 支持将进一步边缘化。

来源：InfoQ 中文 AI