Ohhnews

分类导航

$ cd ..
foojay原文

免费Java暗藏风险：不受支持的OpenJDK为何成为安全赌博

#openjdk#java安全#漏洞修复#ai攻击#商业支持

四小时。这就是 AI 代理在 PaperCut（一款基于 Java 的打印管理产品）的两个漏洞披露后，将二者串联利用所需的时间。随后，数百个代理组成的集群利用该漏洞，在 26 秒内攻陷了 11 个组织。在某些环境中，从首次入侵到获得完整域管理员权限，仅用了七分钟。

如果你的 Java 资产运行在背后没有任何支持的自由 OpenJDK 上，那么你多年前做出的权衡——自行打补丁，并忍受数周延迟——已经不再划算。让我说明原因，以及如何在攻击者替你重算这笔账之前，重新计算你的数字。

我们与免费 Java 达成的交易

多年来，这笔交易很简单。使用不带支持订阅的 OpenJDK，自行承担补丁工作；如果修复需要多花几周，虽然不舒服，但通常也能安然度过。我会说它是“免费如小狗”，而不是“免费如啤酒”。软件不要钱，但仍得有人喂养、遛它、清理善后。总得有人做漏洞分类、打补丁、测试、故障排查、事件响应和根因分析。这些一样都没消失。

改变的是这笔交易的风险面。即便以人类的速度，补丁空窗也可能造成伤害：Equifax 泄露事件背后的 Apache Struts 漏洞，在攻击者进入前大约两个月就已经有修复可用，而约 1.47 亿人受到影响。现在，攻击者不再是人。

漏洞利用时间的织物已经撕裂

在 AI 加速漏洞利用的时代，根据《2026 年 Verizon 数据泄露调查报告》，组织修复已知漏洞的中位时间为 43 天。这远远不够快。例如，Palo Alto Networks 的 Unit 42 记录了一起自主、AI 驱动的企业网络入侵事件，代理在事件中依次穿行于应用服务、云资源、源代码控制仓库和 CI/CD 工作流。人类攻击者需要数周才能完成的事，只用了 10 小时。

连 CISA 也注意到了。其 2026 年 6 月的约束性操作指令 26-04 要求联邦机构对跨过风险阈值的漏洞在三个日历日内完成处置。现在想想，如果你的更新在披露后数天或数周才到达，三天期限意味着什么。这笔账算不过来。

相比之下，Azul 提供的安全补丁实际上实现了零可利用窗口，因为这些补丁（从实际效果来看）与 CVE 详情发布同步可用。（更多信息见下文。）

低风险 CVE 不会一直低风险

团队觉得可以跳过或推迟季度更新的一个原因，是其中看起来没有什么关键内容。这是一种人类式的风险思维。AI 代理不需要一个大漏洞。它可以把多个低危或中危 CVE 串起来，一个用来进入，另一个用来深入，直到这些组合叠加成完全控制，即使其中没有任何单个漏洞会被单独评为高危。

较老的资产会给攻击者提供更多可乘之机。根据 Azul 的 2026 年 Java 现状调查与报告，20% 的企业仍在生产环境运行已终止支持的 Java 6 或 7。Java 6 于 2006 年发布，那时 Kubernetes 还不存在，而这些运行时仍然易受新 CVE 影响。老化的组件、对实际加载内容的可见性差以及更少的防护措施，正是漏洞串联所需的原材料。

“免费”的实际成本

过去十二个月里，各项指标正朝完全错误的方向变化。根据 Verizon DBIR，CISA 已知被利用漏洞（KEV）的完全修复率从 38% 降至 26%，完全打补丁的中位时间从 32 天升至 43 天，而影响单个组织的 KEV 中位数量从 11 个升至 16 个。按我们的计算，这意味着每年预期中的实际暴露大约增加 71%。

与此同时，根据 IBM 与 Ponemon，2026 年数据泄露的平均成本达到 499 万美元，创下纪录。AI 驱动的泄露成本约高出 20%，约为 600 万美元。网络保险公司也在关注这一点：根据 AIG、Munich Re 和 Zurich 的说法，缺少有 SLA 保障的供应商可能使保费提高 10% 至 25%；一项分析发现，37% 的网络保险索赔因保险公司发现的安全缺口而被拒绝。

合规也会增加自身负担。审计人员更关心的不是某个组件是否收取许可费，而是你是否能展示一套有文档记录、及时且可重复的已知风险管理流程。不受支持的 Java 不会自动导致审计失败，但在 PCI DSS 4.0.1、NIST SP 800-53、HIPAA 以及 GDPR 的 72 小时泄露通知窗口之间，适用于同一资产体系的框架越多，证据负担就越会叠加。

支持会改变什么

我要明确说明商业支持是什么、不是什么。它不是解决所有网络安全需求的灵丹妙药。它是一项决定：把运营负担中界定清楚的部分——安全响应、更新工程、故障排查和升级处理——转移给供应商。实际效果如下：

  • 速度。 Azul Core 客户可按严格 SLA 获得“仅安全修复、稳定优先™”的关键补丁更新（CPU），通常在披露后一小时内提供，并针对零日漏洞提供周期外修复（我们在最近的 2026 年 10 月更新中就见到了这种情况）。
  • 稳定性。 Azul 的内部分析发现，在六年时间里，约 20% 的完整季度更新（24 次中的 5 次）存在回归问题。Azul 的仅安全更新只包含部署在上一季度累积更新上的安全修复，而该累积更新已经过社区的广泛测试。因此，Azul 的 CPU 适合立即部署，回归风险很低。
  • 遗留系统覆盖。 Azul 为 Java 6 和 7 回移安全修复，在 Azul Core 上支持 Java Applet，并维护自己的 IcedTea-Web 分支。

这个选择从来都不是真正的免费与付费之争。它是在风险与成本之间做选择，而背后的数字在过去十二个月里已经改变。在 AI 代理替你重算之前，先重新算算你的账。

重要提示

这不是本月才出现的理论问题。Azul 于 10 月 20 日发布了 2026 年 10 月季度更新（CPU），随后又发布了两次周期外版本：10 月 21 日针对一个零日漏洞（eMudhra CA 密钥泄露），10 月 24 日又针对之后发现的一个相关漏洞。如果你只安装了 CPU，你需要再次更新。详情见 Azul Zulu 2026 年 10 月季度更新：53 个 CVE，一天后出现零日漏洞。

常见问题

在生产环境运行不受支持的 OpenJDK 有哪些安全风险？

不受支持的 OpenJDK 会让你的团队负责对每一个漏洞进行分类、打补丁、测试和升级处理。完整季度更新往往在披露后数天到数周才到达，而且其中约 20%（根据 Azul 的内部分析，六年内 24 次中有 5 次）引入过回归问题。Azul Core 是 OpenJDK 的商业支持构建版，可按 SLA 提供“仅安全修复、稳定优先™”的关键补丁更新，通常在披露后一小时内提供。

如今 Java 漏洞被利用的速度有多快？

根据 M-Trends 2026 和 2026 Verizon DBIR，如今利用已披露漏洞的中位时间以负时间衡量——即补丁可用之前的时间——而修复中位时间为 43 天。AI 代理可以进一步压缩这一时间：在一个有记录的案例中，它们在基于 Java 的 PaperCut 软件的两个漏洞披露四小时后，就将二者串联利用。Azul Core 客户可以访问周期外补丁，以帮助应对这种快速变化的漏洞。

累积季度更新与 CPU 有什么区别？

累积季度更新打包了数百项缺陷修复、安全修复和功能更新，这意味着部署前需要进行大量回归测试。Azul 的关键补丁更新（CPU）只包含应用到上一季度经社区测试的累积季度更新上的安全修复。Azul Core 的 CPU 旨在可立即部署，回归风险最低。

不受支持的 Java 如何影响合规和网络保险？

不受支持的 Java 不会自动导致审计失败，但它会增加在 PCI DSS 4.0.1、NIST SP 800-53、HIPAA 和 GDPR 等框架下记录漏洞如何被识别、修复或正式接受的负担。保险公司也在审视补丁管理纪律，缺少有 SLA 保障的供应商可能使保费提高 10% 至 25%。Azul Core 为团队提供了可引用的更新、生命周期和升级处理路径。

如何保护遗留的 Java 6 和 7 应用？

Oracle 不再支持 JDK 6 或 7，但它们仍然易受新 CVE 影响，并且在约 20% 的企业中仍运行着关键业务负载。Azul 为 Java 6 和 7 回移安全修复，在 Azul Core 上支持 Java Applet，并为 Java Web Start 应用维护自己的 IcedTea-Web 分支。要查看你的资产体系中哪里在运行免费且不受支持的 Java，请申请 Azul JVM 漏洞风险评估。

[LOADING...]

作者

Simon Ritter

Simon 是 Azul 的副 CTO。

相关文章

Azul Zulu 2026 年 10 月季度更新：53 个 CVE，一天后出现零日漏洞

JavaJava 核心发布说明 AI [LOADING...]
[LOADING...]Steve Poole2026年7月23日 852 次浏览

AI 发现了漏洞。谁来为你的 EOL Java 代码打补丁？

AIJava安全 Java [LOADING...]
[LOADING...]Steve Poole2026年6月16日 1,573 次浏览

AI 是否刚刚彻底破坏了软件安全？

Java安全 Java [LOADING...]
[LOADING...]Steve Poole2025年12月19日 3,214 次浏览

在上游/下游、颠倒混乱的 EOL 世界中，漏洞的真实机制

Java安全