Ohhnews

分类导航

$ cd ..
foojay原文

2026年10月Azul Payara版本发布：安全修复与社区版更新

#payara#azul#安全更新#应用服务器#jakarta ee

2026 年 10 月版本带来 Payara Community 7.2026.10，以及 Azul Payara Server & Micro 7.5.0、6.43.0、5.92.0 和 4.1.2.191.60。

Payara Community 的核心主题是日常运维。SSH 节点不再需要提升权限，两个新命令 delete-jvm-option 和 delete-system-properties 让命令行配置管理更轻松，一系列修复解决了真实部署中出现的问题，从域重启后应用无法部署，到并发部署失败。本版本中有三项更改由社区贡献（谢谢！）。

对于 Azul Payara，升级的主要原因是安全性。三个安全修复已发布到所有分支，包括 Eclipse GlassFish 中的远程代码执行漏洞，以及管理控制台中的跨站脚本。发行说明指出本周期没有破坏性变更，Jakarta EE 11 和 MicroProfile 7.1 仍是 7 系列的基线。

版本一览

版本Jakarta EEMicroProfile本周期亮点
Payara Community 7.2026.10117.1无需提升权限的 SSH 节点、delete-jvm-option、delete-system-properties、社区修复
Azul Payara Server 和 Micro 7.5.0117.1安全修复、CDI DevMode、SSH 提供程序和 Windows SSH 支持、EclipseLink 5.0.1
Azul Payara Server 和 Micro 6.43.0107.1安全修复、CDI DevMode、SSH 提供程序和 Windows SSH 支持、移除 DCOM
Azul Payara Server 和 Micro 5.92.084.1安全修复、SSH 提供程序和 Windows SSH 支持、移除 DCOM
Azul Payara Server 和 Micro 4.1.2.191.60——安全修复、并发部署修复、Jackson 2.18.11

所有 Azul Payara 分支均已修补的三个安全修复

三个安全项目已随 Azul Payara Server 和 Micro 7.5.0、6.43.0、5.92.0 和 4.1.2.191.60 发布：

  • CVE-2026-2587 和 CVE-2026-2586，Eclipse GlassFish 中的远程代码执行漏洞。

  • JSFTemplating 中的远程代码执行。

  • 管理控制台中的跨站脚本（XSS），可导致完全控制。

在完整支持生命周期内发布补丁，而不仅限于最新主要版本，这是长期使用 Azul 的客户所依赖的做法。Azul 是在 CISA 和 DHS 监督下注册的 CVE 编号机构（CNA），会按公布的每月计划将补丁向后移植到每个受支持版本。无论您运行的是哪个主要版本系列，都没有理由推迟升级。

Payara Community 7.2026.10 有哪些新内容

[LOADING...]

Payara Community 7.2026.10（在此下载）是跟踪 Payara 7 开发线的开源发行版，提供 Jakarta EE 11 和 MicroProfile 7.1。

本月版本旨在让 Payara 更易于运行和管理，其中很大一部分来自社区本身。

SSH 节点不再需要提升权限

管理 SSH 节点不再需要提升权限。如果您在多台主机上运行 Payara 域，这消除一个常见摩擦点：Payara 在远程节点上使用的账户不再需要超出实际工作所需的访问权限，这更容易向安全团队说明理由，设置也更简单。

两个新的管理命令

两个新的 asadmin 命令完善了配置管理：

  • delete-jvm-option 从配置中移除 JVM 选项。

  • delete-system-properties 移除系统属性。

它们共同为脚本化和自动化环境提供了一种从命令行撤销配置更改的方法。

值得了解的修复

  • 修复了 start-domain 管理员密码恢复提示。 当文件被重写时，auth-realm-name 从 domain.xml 中被删除，导致该提示失效。

  • 修复了并发部署失败的问题。 SaxParserHandlerBundled 是一个有状态单例，导致同时运行的部署失败。

  • 修复了使用 MicroProfile REST Client 的应用在域重启后无法部署的问题。 由社区成员 lprimak 贡献。

  • 为 WAR 库中的 JAX-RS 客户端增加了泄漏防护。 同样由 lprimak 贡献。

  • 修复了 Request Tracing Service 在关闭时仍生成随机 UUID 的问题。

  • 修复了 InitialContext 联系列表为 IIOP 和 CORBA 包含额外主机名的问题。

  • 移除了一个误导性的管理控制台警告：“命令 create-deployment-group 未复制到该实例”。

JNDI 与 Agentic AI 维护事项

JNDI 上下文现在在找不到名称时抛出 NameNotFoundException，由社区成员 mkarg 贡献。在 8 月推出并于 9 月扩展到 Payara Micro 和 Embedded 的 Jakarta Agentic AI 预览之后，Agentic AI 实现的 OSGi 导出也已接受审查。EclipseLink 的 CollectionChangeRecord 现在会记录异常，这使持久化问题更容易诊断，同时 Payara 资源描述符 DTD 迁移到新的版本管理方案。

社区贡献

感谢社区贡献者 lprimak 修复 REST Client 部署问题（FISH-12192）和 JAX-RS 客户端泄漏防护（FISH-13968），以及 mkarg 对 JNDI NameNotFoundException 的更改（FISH-14641）。

Community 版本中的每个修复都在发行说明中链接到其拉取请求，如果您想查看具体更改。

组件升级

EclipseLink 升级到 5.0.1，Mojarra 升级到 4.1.16。其他包括：Grizzly 5.0.3、HK2 4.0.3、ha-api 3.2.0、Soteria 4.0.2、Payara Security Connectors 4.1.0、Yasson 3.0.5、Jackson BOM 2.22.3、Woodstox 7.3.0、Nimbus JOSE+JWT 10.10、MicroProfile Config API 3.1.2、MicroProfile Health API 4.0.2、OpenTelemetry 1.66.0（语义约定 1.44.0）、Apache SSHD 2.20.0、JLine 4.4.6、SLF4J 2.0.20、BCEL 6.13.0 和 Kotlin stdlib 2.4.20。

Azul Payara Server 和 Micro 有哪些新内容

[LOADING...]

所有四个 Azul Payara 分支都包含上述安全修复。本节介绍各分支的其他变更。

Azul Payara 7.5.0

Azul Payara 7.5.0（在此申请免费试用）是 Payara 7 系列自 Server 7 和 Micro 7 于 5 月正式发布以来的第五个常规月度版本。Server 7.5.0 已通过 Full Platform、Web Profile 和 Core Profile 的 Jakarta EE 11 认证；Micro 7.5.0 实现了 Web Profile 和 Core Profile API。

CDI DevMode

CDI DevMode 已在 7 和 6 系列中实现。它增加了一个开发时控制台，显示运行中的应用中 CDI Bean、注入点、拦截器和事件如何连接，因此循环依赖或未解析依赖等装配问题更容易发现。它仅用于开发，并通过 payara.dev.console 系统属性启用。

SSH 提供程序与 Windows SSH 支持

SSH 提供程序和 Windows SSH 支持已移植到 Azul Payara 7、6 和 5，同时还有新的 delete-jvm-option 和 delete-system-properties 命令。

管理、JNDI 和持久化

delete-jvm-option 和 delete-system-properties 已进入 7、6 和 5 系列，同时还有 JNDI NameNotFoundException 更改、EclipseLink 日志记录改进以及 Payara 资源描述符 DTD 更新。

Bug 修复

  • 修复了因有状态单例导致的并发部署失败（所有分支，包括 Payara 4）。

  • 修复了域重启后的 REST Client 部署问题（7 和 6 系列），并增加了 JAX-RS 客户端泄漏防护（7 系列）。

  • 修复了 Request Tracing UUID 生成、IIOP InitialContext 联系列表以及误导性的管理控制台部署组警告（7、6 和 5 系列）。

组件升级

EclipseLink 5.0.1、Mojarra 4.1.16、Soteria 4.0.2、Payara Security Connectors 4.1.0、Yasson 3.0.5、Grizzly 5.0.3、HK2 4.0.3、ha-api 3.2.0、Woodstox 7.3.0、Jackson BOM 2.22.3、Protobuf 4.36.2、gRPC 1.84.0、OpenTelemetry 1.66.0、MicroProfile Config API 3.1.2、MicroProfile Health API 4.0.2、Apache SSHD 2.20.0、JLine 4.4.6、SLF4J 2.0.20、Nimbus JOSE+JWT 10.10、BCEL 6.13.0 和 Kotlin stdlib 2.4.20。

完整列表见发行说明。

Azul Payara 6.43.0

Azul Payara 6.43.0 延续 Jakarta EE 10 系列，面向尚未使用 Payara 7 的客户，基于 MicroProfile 7.1。除了安全修复外，它还包含 CDI DevMode、SSH 提供程序和 Windows SSH 支持、两个新的管理命令以及上面列出的修复。6 系列中移除了 DCOM。

组件升级： EclipseLink 4.0.9、JAXB Impl 4.0.9、Yasson 3.0.5、Jackson BOM 2.22.3、OpenTelemetry 1.66.0（语义约定 1.44.0）、Protobuf 4.36.2、gRPC 1.84.0、Aries SpiFly 1.3.8、ha-api 3.2.0、Apache Ant 1.10.18、Nimbus JOSE+JWT 10.10、BCEL 6.13.0、Kotlin stdlib 2.4.20、JLine 4.4.6、SLF4J 2.0.20 和 stax2-api 4.3.1。

Azul Payara 5.92.0

Azul Payara 5.92.0 保留 javax.* 命名空间、Jakarta EE 8 和 MicroProfile 4.1，适用于尚未迁移到 jakarta.* 命名空间的长期应用。它包含安全修复、SSH 提供程序和 Windows SSH 支持、管理命令以及上面列出的修复。5 系列中移除了 DCOM。

组件升级： Jackson BOM 2.22.3、Protobuf 4.36.2、gRPC 1.84.0、SnakeYAML 2.7、Javassist 3.33.0-GA、Project Reactor 3.8.7、Apache Ant 1.10.18、Aries SpiFly 1.3.8、Payara Security Connectors 2.10.0、genericra 2.1-20100913、JLine 3.30.17、Nimbus JOSE+JWT 10.10、BCEL 6.13.0 和 stax2-api 4.3.1。

Azul Payara 4.1.2.191.60

Azul Payara 4.1.2.191.60 获得三个安全修复和并发部署修复，Jackson 升级到 2.18.11。

展望未来

Azul Payara 产品线涵盖 JDK（Azul Zulu 和 Azul Prime）、完整应用服务器（Azul Payara Server）和云原生运行时（Azul Payara Micro），全部来自同一供应商。7、6、5 和 4 系列继续按照公布的计划接收每月安全性和错误修复版本，补丁会向后移植到每个受支持版本。

如果您正在评估迁移到 Payara 7，jakarta.* 命名空间在 Jakarta EE 10 和 11 之间是稳定的，因此现有 Jakarta EE 10 应用只需升级运行时即可部署到 Payara 7，而无需重写代码库。迁移评估可通过您的 Azul 客户团队获取。## 升级与反馈

我们建议升级到您所在产品线的最新版本；鉴于从 7 系列一直到 Payara 4 的每个受支持分支都提供了安全补丁，我们尤其强烈建议您这样做。

完整详情（包括完整的组件升级列表和拉取请求链接）见发行说明：

有关升级说明，请参阅 Payara 文档；如需报告问题、贡献修复或关注 Payara 7 路线图，请访问 Payara GitHub 仓库；如需商业支持，请联系您的 Azul 客户团队。

祝部署顺利！

发现错误，或有内容要补充？在 GitHub 上编辑此页面

[LOADING...]
作者

Dominika Tasarz

我是一名社区建设者，专注于发展全球 Java 和 Jakarta EE 生态系统。我擅长社区策略、开源参与以及面向开发者的技术营销，通过活动、内容等方式，建设强大且协作的社区……

加入讨论