行业动态01
这是 2026 年 10 月 12 日这一周的 Java 生态周报，由 Michael Redlich 整理。内容提到几件事：OpenJDK 有三个 JEP 被列入 JDK 28 的目标；Azul Payara 发布了 2026 年 10 月版本；Gatherers4j、Yupiik Fusion、Google ADK for Java 和 Google ADK for Kotlin 都有小版本更新；Apache Camel 修复了 38 个 CVE 安全漏洞。对 Java 开发者来说，这份周报能帮你快速了解本周值得关注的版本更新和安全修复，尤其是用 Apache Camel 的团队应尽快查看这 38 个漏洞。摘要没有说明各 JEP 的具体内容、各版本的新功能细节以及漏洞的严重程度，需要看原文或官方发布说明。
文中可用工具
- JDK 28Java 开发工具包的新版本，本周有三个 JEP 被列为它的目标特性
- Azul Payara发布了 2026 年 10 月版本，原文未说明具体功能
- Gatherers4j发布了小版本更新，原文未说明具体用途
- Yupiik Fusion发布了小版本更新，原文未说明具体用途
- Google ADK for JavaGoogle 的 Java 版开发工具包，发布了小版本更新
- Google ADK for KotlinGoogle 的 Kotlin 版开发工具包，发布了小版本更新
- Apache Camel集成框架，本次修复了 38 个 CVE 安全漏洞
行业动态02
Snyk 首席创新官 Manoj Nair 与 Anthropic 应用 AI 负责人 Alon Krifcher 在一场线上活动中讨论：攻击者已经开始用 AI 智能体自动发起攻击，防御窗口从几个月缩短到几分钟甚至 27 秒。Snyk 提出用「发现 → 修复 → 验证 → 预防」四步并行应对，并称其产品 Evo 和 Snyk Studio 已在实际企业中使用，例如有客户靠它发现了人工渗透测试漏掉的问题。对读者的意义是：可以关注一个简单指标——新发现的问题与已关闭问题的比例，它比开了多少工单更能说明安全状况是否真的在改善。
文中可用工具
- Evo Continuous Offensive Security模拟自主攻击者的方式持续测试应用，发现潜在风险
- Snyk Studio在 AI 智能体写代码时提供安全上下文，帮助它避开有问题的依赖包
- Claude被用来构建修复智能体和相关技能，帮助清理安全积压问题
- Skills原文未说明具体用途，仅提到与修复智能体配合清理积压
行业动态03
OpenSSH 10.6 在本周二发布，维护者明知会让一些用户出现问题，还是主动改掉了两个功能。第一，他们关闭了压缩中的 LZ77 字典编码，因为研究者发现，多条通道共用同一份压缩记录时，可能把另一条通道里的机密内容泄露出去；压缩默认本来就没开，只有手动开启的人会受影响。第二，命令行用户名里不再允许出现 $ 和 \ 两个符号，防止内部工具或 CI 拼接用户名时被 shell 当成命令执行；写在配置文件里的同类用户名不受限制。对普通用户来说，交互式登录基本无感；但大量传输可压缩数据的自动化任务可能变慢，需要把压缩挪到应用层完成。
文中可用工具
- OpenSSH远程登录和加密通信的基础软件，本次发布的是 10.6 版
- sshOpenSSH 的客户端命令，本次关闭了其中的 LZ77 压缩
- sshdOpenSSH 的服务端程序，本次同样关闭了 LZ77 压缩
- Claude Code研究者用它实现了三种攻击场景的概念验证
- Claude与 Anthropic Research 一起被用于发现另外两个已修复的漏洞