Axiom JDK

🎙 Предъявите ваше РБПО! Безопасная разработка в России: уже привычная практика или всё ещё головная боль? Что у компаний получается, а где еще предстоит найти рабочие решения? В подкасте «За рамками кода» обсудили, как компании справляются с задачами РБПО, какие практики стоит брать на вооружение и зачем вообще контролировать весь жизненный цикл ПО. Заодно попытались заглянуть в будущее: куда д…

После завершения открытой поддержки в старых версиях Spring всё ещё находят новые уязвимости. Но вот на публичные исправления рассчитывать уже не приходится. Просто следить за списком уязвимостей явно недостаточно. Нужно понимать, что именно используется в приложении, какие зависимости затронуты и как действовать, если нет возможности оперативно мигрировать на свежую версию. Как выстроить работу…

🔍 Как проверить 7 000 000 строк JDK? Мы внедрили Svace и платформу Svacer от ИСП РАН в процесс анализа кодовой базы Axiom JDK. Задача была не просто добавить ещё один SAST. Кодовая база JDK огромная, а требования к безопасной разработке и сертификации растут. Поэтому нужен инструмент, который умеет глубоко разбирать межпроцедурные связи и нормально работает на таком масштабе. Результат Svace…

🏎 Постквантовая криптография в JDK становится быстрее В JDK уже есть ML-KEM и ML-DSA, но их базовая Java-реализация рассчитана прежде всего на переносимость. В JDK 28 HotSpot начинает точечно подменять самые тяжёлые операции оптимизированным машинным кодом под конкретную архитектуру. Существенный ли прирост? В опубликованных тестах ускорение местами доходит до 218% — то есть операция выполняе…

🛡 В Spring LDAP обнаружили CVE-2026-41720, из-за которой приложение при определённых условиях могло принять пустой пароль за успешную аутентификацию. Но это не значит, что без пароля можно было войти в любой LDAP. Для эксплуатации требовалось совпадение ряда условий: • уязвимая версия Spring LDAP; • атакующий знал существующее имя пользователя; • пустой пароль или null; • LDAP-сервер разрешил …

🖥 JDK 27 меняет сразу два runtime-дефолта, которые могут повлиять на поведение сервиса даже без правок в коде 1. Compact Object Headers теперь включены по умолчанию. На типичной 64-битной HotSpot-конфигурации заголовок объекта уменьшается с 12 до 8 байт. 2. G1 теперь GC по умолчанию вообще везде, в том числе в небольших контейнерах и однопроцессорных средах, где раньше JVM могла выбрать Serial G…

🛠 Spring перестраивает расписание обновлений Раньше патчи разных Spring-проектов выходили по очереди, и весь цикл растягивался примерно на две недели. Теперь вместо него появится Patch Thursday: плановые обновления и CVE-фиксы будут выпускать вместе, в четверг после третьего понедельника месяца. ❓ Почему так? Поток security-репортов резко вырос: • Раньше команда получала 6-7 сообщений в месяц,…

🍃 Spring после EOL: кто будет закрывать новые уязвимости? Spring вместе с транзитивными зависимостями может составлять до 90% современного приложения. После окончания публичной поддержки версии 3.5 код продолжает жить, а новые уязвимости никуда не исчезают. Еще и ИИ в разы ускорил поиск слабых мест, и теперь нет более удобной мишени, чем старые версии без патчей. 20 октября будем разбираться, ч…

♻️ G1 за восемь версий JDK: что успели переделать G1, или Garbage-First, — сборщик мусора в JVM, который делит heap на регионы и старается удерживать паузы под контролем за счёт поэтапной очистки памяти. Для многих Java-приложений это уже привычный GC по умолчанию. Но за знакомым названием скрывается сборщик, который от JDK 17 до 25 успели заметно перекроить. Дмитрий Соломенников разобрал на Ха…

🫨 Java запрещает менять final? Разбираем JEP 500 Поле объявлено final, но через reflection его всё ещё можно изменить после создания объекта. Старый Java-компромисс, который годами помогал фреймворкам, теперь начинает мешать самой JVM. В JDK 26 OpenJDK сделал первый шаг к тому, чтобы final действительно означал «неизменяемый»: пока такие мутации получают warning, а в будущем их планируют запреща…