Foojay Podcast #104：53 个 CVE、两次紧急发布——与 Simon Ritter 谈 Java 安全为何依然稳固

一次季度更新中出现 53 个 CVE，随后几天内又进行了两次紧急发布。短时间内出现这么多问题，但这也说明系统在运转：AI 工具如今会分析 Java，问题会先被发现并修复，而且每一个补丁背后都有整个工程师社区和商业发行版厂商的支持。

在本期节目中，Azul 副 CTO、Java Champion、OpenJDK 漏洞组成员 Simon Ritter 解释了过去几周发生的事情。他通常每年受邀两次，介绍新的 Java 版本，但这一次安全新闻等不及了。

我们从什么是 CVE 开始，讲到一个漏洞如何在封闭且加密的小组中从报告走到补丁，赶在任何人利用它之前完成修复。接着我们讨论：为什么修复数量从平均每季度 7.6 个跃升至 53 个；发布周期如何转向每月安全更新；导致两次非周期发布的 eMudhra 证书问题；以及每个受支持的 Java 版本背后所需的向后移植工作。最后，我们谈到免费与付费 OpenJDK 构建、CPU、PSU 和 CSPU 这些缩写，以及唯一需要记住的事情：检查你的 Java 版本，并随时准备更新。

如果你想了解 CVE 在幕后如何处理，以及不同类型的安全更新到底意味着什么，本期节目会为你解释。

YouTube

播客应用

你可以在以下平台收听并订阅 Foojay Podcast：

• Spotify
• Apple Podcasts
• 以及大多数其他平台……

嘉宾

• Simon Ritter——Azul 副 CTO、Java Champion
  • LinkedIn
  • Foojay 作者页面

链接

• 免费 Java，真实风险：为什么不受支持的 OpenJDK 现在是一场安全赌博
• Azul Zulu 2026 年 10 月季度更新与非周期发布

内容

• 00:00 主题与嘉宾介绍
• 01:59 什么是 CVE，它们如何被报告和处理？
• 08:45 Java 安全发布周期如何变化，以及每次更新为何包含更多 CVE
• 11:48 AI 如何影响 CVE 的发现
• 14:09 导致两次非周期安全更新的 eMudhra 问题是什么？
• 21:49 创建非周期更新（以及向后移植）的影响
• 26:05 未来 OpenJDK 构建会有多安全？依赖项呢？
• 29:06 OpenJDK 构建的免费版本与付费版本
• 32:40 CPU vs PSU vs CSPU：不同类型安全更新使用的名称（仅安全更新 vs 包含补丁）
• 35:52 Java 6、7、8 等旧版本会发生什么
• 37:05 为什么要为受支持的 OpenJDK 构建付费？
• 41:50 结论：检查你的 Java 版本，并随时准备更新！

作者

Frank Delporte

Frank Delporte 是 Java Champion、Java 开发者、Azul 高级技术文档工程师、博主、《Java Programming for Raspberry Pi - A Hands-On Guide to Electronics and IoT Projects》作者，也是 Pi4J、Lottie4J、Sheetmusic4J 等项目的开源贡献者……

Simon Ritter

Simon 是 Azul 副 CTO。