Oracle выкатила первый ежемесячный патч безопасности Critical Security Patch Update 18 августа, который содержит 943 патча. Следующий крупный квартальный CPU scheduled на 20 октября, и он обещает быть больше обычного. Это произошло на фоне того, что июльский CPU содержал рекордные 1 448 патчей.
20 августа Spring опубликовал 91 security advisory, из которых 1 критическая, 17 высоких, и 55 средних и 18 низких уязвимостей. Это значительно больше, чем 16 CVE за весь 2025 год, что стало результатом работы AI-сканеров. По данным Sonatype, затронуто 148 608 компонентов.
В JDK 28 планируется добавить простой API для работы с JSON в виде incubator-модуля jdk.incubator.json (JEP 540). Также generational-режим Shenandoah GC станет режимом по умолчанию (JEP 535). В EA-сборках JDK 28 с флагом --enable-preview уже доступны Value Objects (JEP 401 и JEP 539), где оператор «==» теперь сравнивает состояние, а не ссылки.
Oracle опубликовала график релиза постквантовой криптографии. ML-KEM и ML-DSA появятся в JDK 25, а в JDK 21 и 17 они приедут в октябре 2026 года, в JDK 11 и 8 — во второй половине 2027 года. Гибридный обмен ключами для TLS 1.3 добавят в JDK 25 в октябре 2026 года, а в JDK 21 и 17 — в первой половине 2027 года.
