JDK28三项核心JEP进入Target阶段，AzulPayara修复高危RCE漏洞

Java 平台近期迎来多项关键进展，核心开发路线图与安全补丁同步推进。OpenJDK 社区已将三项重要 JEP（JDK Enhancement Proposal）状态从“Proposed to Target”提升为“Targeted”，明确纳入 JDK 28 的正式功能集。这标志着 Java 在垃圾回收效率与并发编程模型上的持续演进正加速落地。

其中，JEP 546《ZGC 自适应堆大小调整》旨在让 Z 垃圾收集器具备动态响应能力：它可根据系统可用内存、应用负载需求，甚至同主机上其他 Java 应用的资源争用情况，自动调节堆内存上限与下限。这一改进有望显著提升多租户云环境下的资源利用率与稳定性。

JEP 545《使用 ZGC 加快启动和预热》则聚焦冷启动性能瓶颈。传统 JVM 启动时需预先分配并清零大量堆内存，耗时较长；新方案通过更智能的物理内存获取策略——例如延迟提交（lazy commit）与按需映射——使 ZGC 能在应用真正需要时才高效准备内存页，从而缩短服务就绪时间。这对微服务、Serverless 场景尤为关键。

第三项 JEP 543《结构化并发》是本次升级中最具工程价值的变更。该特性历经 JDK 19–27 共七轮预览与两轮孵化，最终定稿。其核心思想是将跨线程协作的任务封装为一个逻辑单元（Structured Task Scope），统一管理生命周期、异常传播与取消信号。开发者不再需手动处理 Thread.join() 或 Future.get() 的嵌套回调，错误边界清晰，可观测性增强，大幅降低并发编程的认知负担与出错概率。

JDK 28 的早期访问版（Early Access Build 20）已于上周发布，整合了上述特性的初步实现及多项 Bug 修复。Oracle 官方呼吁开发者积极测试，并通过 Java Bug Database 提交反馈，以确保正式版质量。

与此同时，企业级 Java EE / Jakarta EE 运行时 Azul Payara 于2026年10月推出 7.5.0 版本，涵盖 Community Edition 7.2026.10、Enterprise Edition 6.43.0 与 5.92.0 三个分支。此次更新不仅包含常规组件升级与缺陷修复，还引入了若干运维便利性功能：SSH 节点管理不再依赖 root 权限；新增 delete-jvm-option 与 delete-system-properties 命令行参数，支持动态移除 JVM 启动选项与系统属性，简化配置回滚流程。

• CVE-2026-2586：攻击者若能访问 Payara 管理控制台，可构造恶意请求，在应用服务用户权限下执行任意操作系统命令；
• CVE-2026-2587：服务器端模板渲染引擎存在注入缺陷，允许攻击者通过特制模板触发任意代码执行，进而控制底层主机、窃取数据或横向渗透。

这两个漏洞均被评定为“严重”级别，影响范围覆盖所有未打补丁的 Payara 实例。官方强烈建议用户立即升级，并审查管理接口的访问控制策略。

在工具链层面，Gatherers4j 0.15.0 版本增强了流式数据聚合能力，新增 movingStatistics()、runningStatisticsBy() 等统计类 Gatherer，可为每个输入元素生成完整的 StatisticalSummary 对象；同时支持加权移动平均计算（movingWeightedMean()），适用于金融时间序列、传感器数据平滑等场景。

Yupiik Fusion 1.2.0 则优化了命令行文档生成机制，CliDocumentationGenerator 改用 CliLauncher 作为基类，以兼容多段式选项标记（如 --config.file=xxx --log.level=debug）。此外，HandlebarsCompiler 行为向标准 Handlebars 引擎对齐，虽属破坏性变更，但提升了模板兼容性与可预测性。

Google Agent Development Kit（ADK）也同步更新：Java 版 1.12.0 重构了 ContextCacheConfig 构造函数，弃用过时的 maxInvocations 参数，改用更灵活的 cacheIntervals 与 createHttpOptions；并引入新型工作流图建模能力，包括 Node 接口、BaseNode 抽象类、Start 实现类及 Edge 记录类型，为构建复杂 AI Agent 工作流提供底层支撑。Kotlin 版 1.4.0 则进一步封装 DSL，新增 EdgesDsl 用于声明式图构建，以及 ChatCompletions 类对接 OpenAI 兼容 API，便于集成大模型推理能力。

值得注意的是，近期 Java 生态的安全态势持续紧张。据 gigazine 报道，2026 年漏洞报告数量呈现“近乎垂直拉升”趋势，CVE Tracker 数据显示全年已登记漏洞数远超往年。AI 工具正成为安全研究的“放大器”：自动化扫描、PoC 生成与报告撰写效率大幅提升，推动更多隐蔽缺陷浮出水面。然而，这也带来误报率上升与维护者负荷加重的问题。例如，以太坊客户端 Teku 与 Besu 在 26.10.x 版本中紧急停用印度证书机构 eMudhra 的全部中间 CA 证书——因其八个子 CA 的私钥存在可推算风险，可能被用于中间人攻击，诱使验证节点签署恶意区块。尽管主网默认节点暂未受影响，但依赖旧版 Java（如 Java 26）的部署需尽快迁移至受支持版本（如 Java 25），否则将面临潜在信任链断裂风险。

综合来看，Java 平台正处在性能优化、并发抽象与安全加固三线并进的关键阶段。JDK 28 的三大 JEP 不仅提升底层运行时能力，也为上层应用开发提供更可靠、更简洁的编程范式；而 Payara 等主流运行时的快速响应，则体现了企业级生态对安全威胁的重视程度。随着 AI 辅助开发与测试的普及，漏洞发现速度将持续加快，这对 Java 社区的响应机制与标准化治理提出更高要求。未来版本迭代中，如何平衡创新节奏与安全稳健性，将成为长期课题。