Ohhnews

分类导航

$ cd ..
foojay原文

Java季度间安全更新：CSPU对发布流水线的影响

#java#cspu#安全更新#漏洞响应#发布流水线

在 2026 年 7 月 20 日发布于 OpenJDK 更新邮件列表 的公告中，Rob McKenna 解释了 Oracle JDK 构建安全发布周期的变更。他们计划将 Oracle JDK 的安全更新作为 （部分）月度关键安全补丁更新（CSPU） 的一部分发布。

这提供了更精确的信息，此前在 2026 年 4 月 26 日，Oracle 宣布加速漏洞检测与响应 的消息中，曾提出在其所有产品中引入月度关键安全补丁更新（CSPU）的概念。当时尚不清楚这是否也适用于 Java 版本，以及将如何影响正常的季度关键补丁更新（CPU）周期。

现在明确的是，首个 Java CSPU 将于 2026 年 8 月 18 日发布，你的构建和部署流程需要能够处理正常季度窗口之外的安全补丁。

变化内容

自 2014 年以来，Java 安全更新一直按照固定的季度计划执行：每年 1 月、4 月、7 月、10 月的第三个星期二。该计划保持不变。新增的是第二种发布类型，即 CSPU，可以在 CPU 之间插入，当高优先级漏洞需要比下一个季度更早的修复时使用。

Oracle 集成网络中心在其整个产品线中每月执行 CSPU，但 Java 并非在每个月的 CSPU 中都会自动获得修复。Oracle 自己的措辞很明确：Java 安全更新“作为（部分）月度 CSPU 的一部分”发布，而不是全部。首个 Java CSPU 于 2026 年 8 月 18 日发布，大约在 7 月 CPU 之后一个月。Oracle 计划在 9 月没有 Java CSPU。长期来看，Oracle 打算在未来一年内将 Java 更新转向完全月度节奏，但目前尚未实现。预计 CSPU 目前会不定期出现，明年则会接近每月一次。

在 jdk-updates-dev 邮件列表中，Rob McKenna 概述了 OpenJDK 的计划：针对 JDK 26 的 CSPU 版本，版本号为 26.0.2.1，同样计划于 8 月 18 日发布。Andrew Hughes 确认其他更新轨道（8u、11u、17u、21u 和 25u）将像处理临时版本一样处理 CSPU。每个轨道从先前的 GA 标签分支，添加安全补丁，保持范围最小化，然后合并回去。常规的季度周期在底层继续运行，不受影响。

为何现在

Oracle 给出的理由很直接：AI 工具加速了漏洞生命周期的双方。攻击者比以前更快地搜索可利用的弱点。防御者也可以更快地发现和修复它们。90 天的等待时间曾是可接受的窗口，但现在为已知漏洞在修复发布之前被武器化留下了更多空间。CSPU 在不等待完整季度版本的情况下缩小了部分差距。

CSPU 与 CPU 对比

CSPU 并不是你需要使用单独流程处理的新类型版本。它与你每季度已经应用的更新类型相同，只是更频繁地交付。

CSPU 仅包含安全性和稳定性修复。没有新功能，没有 API 变更，也没有漏洞修复之外的行为变化。Oracle 和 OpenJDK 维护者都明确表示要保持 CSPU 范围狭窄，尤其是在流程尚新的早期阶段。这对担心回归风险的人来说是个好消息。CSPU 应该像一个小的、集中的 CPU，而不是周期中的功能发布。

版本号遵循现有惯例。JDK 26 更新在 8 月 CSPU 中获得 26.0.2.1，比 7 月的 26.0.2 CPU 多一步。其他更新轨道预计也会出现相同的模式：CSPU 版本在版本号上附加一个数字。

你需要做什么

将 CSPU 完全视为季度 CPU。以相同的方式将其纳入依赖管理。运行相同的测试套件，并通过相同的管道阶段进行推广。唯一的改变是频率：你现在需要按照不定期、有时每月的时间表检查和应用安全版本，而不再是每三个月一次。

现在值得采取的一些具体步骤：

  1. 更新你的补丁监控流程，每月检查一次，而不是每季度一次，尽管并非每个月都有 Java CSPU。订阅 Oracle 的安全警报通知，如果你跟踪特定轨道，请关注相关的 OpenJDK 更新邮件列表。
  2. 确认你的测试和发布管道可以在没有手动瓶颈的情况下以月度触发运行。如果你当前的流程假设季度节奏并有数周的缓冲时间，那么不可预测的额外版本将消除大部分缓冲。
  3. 不要等到 10 月。Oracle 预计 10 月的 CPU 将携带比平常更多的漏洞修复，因为 Oracle 将部分修复保留到该版本（“我们目前不计划在 9 月发布 CSPU 版本”），而不是将其推入 9 月的 CSPU。请相应安排测试时间。
  4. 如果你使用的是供应商 JDK 发行版而不是从 OpenJDK 源码自行构建，请检查该供应商计划如何处理 CSPU。有些镜像 CSPU 计划，其他则以不同方式将修复整合到自己的发布轨道中。

Azul 的准备工作

Azul 在新闻稿中宣布 并发布博客文章，指出其针对 Azul Core 和 Azul Prime 的发布基础设施和验证流程已经支持更快的节奏，包括月度更新，而无需更改客户消费方式。该方法将 CSPU 等同的版本限制为漏洞修复。Azul 使用与季度更新相同的稳定性检查测试每个版本，因此更快的节奏不会增加你的测试负担。

结论

针对关键 Java 安全修复的 90 天等待期即将结束。不是因为季度周期被打破，而是因为 AI 缩短了漏洞从被发现到被利用之间的时间。你的任务不是为 CSPU 构建新流程，而是在更短的时间周期内运行现有的补丁管道，并且要立即开始，以免 10 月的 CPU 带来比你习惯的更大批量的修复。

本文首发于 foojay，原文标题：New Between-Quarters Security Updates for Java: What CSPUs Mean for Your Release Pipeline。