8把CA私钥泄露，Java默认不查吊销，Azul连夜补丁

八把私钥泄露，攻击者拿着其中任何一把，就能冒充任意网站或服务。Mozilla披露，eMudhra 中间证书颁发机构（CA）的八把私钥已遭泄露。这不是某台服务器被攻破，而是签发证书的根子出了问题。

下游信任库的反应速度被摆到了台面上：Firefox 和 Chrome 从 10月17日起封禁这批证书，微软平台从 10月20日起，苹果产品从 10月22日起。问题在 10月19日被负责任地披露给下游信任库，不少厂商已经发布或正在发布更新。

Azul 点出了这件事在 Java 世界为何更棘手：Java 默认不检查证书吊销。在 JDK 自身封禁这批证书之前，Java 应用会把用这些密钥签发的伪造证书当作有效证书接受。披露当天没有补丁，而下一个季度发布要等到明年一月。

一天之内，情况就变了。Azul 的说法是，一个零日漏洞冒了出来，任何季度节奏都排不进计划，于是 10月21日他们发了一个计划外更新。与此同时，Azul 也随 Oracle 2026 年10月关键补丁更新（CPU）发布了 Zulu 的10月补丁，覆盖 JDK 版本 27、25、21、17、11、8、7 和 6，涉及 53 个 CVE，其中就包含针对上述 eMudhra 中间 CA 证书问题的计划外更新。

Oracle 这边，2026年10月关键补丁更新咨询中发布了 JDK 版本 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u511。Oracle 也针对这次泄露发布了安全公告。

BellSoft 同样发布了 Liberica JDK 的 CPU 补丁，版本为 25.0.4.1.1、21.0.12.1.1、17.0.20.1.1、11.0.32.1.1、8u511、7u521 和 6u521。此外还发布了补丁集更新（PSU）版本 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33 和 8u512，包含 CPU 与非关键修复。BellSoft 表示，在总计 1438 项修复与回移中，他们参与了所有版本中 144 个问题的消除。

JDK 28 的早期访问构建 Build 21 已在上周开放，相比 Build 20 包含各类问题修复。Oracle Java 平台组首席架构师 Mark Reinhold 正式提出了 JDK 28 的发布日程：

• 第一阶段收窄（从主线分叉）：2026年12月3日
• 第二阶段收窄：2027年1月14日
• 首个候选版本：2027年2月4日
• 最终候选版本：2027年2月16日
• 正式可用：2027年3月9日

该日程的评审期预计在 2026年10月29日结束。开发者被鼓励通过 Java Bug 数据库报告 JDK 28 的问题。

其他发布节奏也没停。WildFly 42 带来缺陷修复、依赖升级和新特性，包括在其 Jakarta Concurrency 规范实现中支持虚拟线程，以及在使用 WildFly Elytron 令牌域安全组件时，通过配置主体转换器，在 Principal 传给受保护应用之前转换从 JSON Web Token 取得的 Java Principal 接口实例。

Apache POI 6.0.0 是面向微软文档的 Java API，此次带来依赖升级与新特性：最低要求 JDK 17；DataFormatter 类中 useCachedValuesForFormulaCells() 方法更新后，公式单元格默认使用缓存值；废弃方法被移除。

Open Liberty 26.0.0.11 的 beta 版支持 JWT Builder 中的工作负载身份与 JWK 轮换，让 JWT 消费方能识别生成它的工作负载或应用；服务器静默阶段超时原本固定为 30 秒，现在可通过 quiesceTimeout 元素配置；还预览了基于 Netty 的新 HTTP 传输，作为底层传输的内部实现替换。

Micronaut 5.2.3 解决了 Micronaut Core 5.2.17 和 Micronaut Security 5.4.1 中的 10 个 CVE，Micronaut Data、Micronaut Object Storage 和 Micronaut Serialization 模块也有补丁更新。JobRunr 9.0.2 带来缺陷修复和两项新特性：重构 Quarkus 的 JobRunrStarter bean 使其可替换；使用供应器（supplier）获取 SQL 查询参数的值。