Oracle JDK 21.0.13 十月更新：时区数据、安全基线与许可证变更

Oracle 于 2026 年 10 月 20 日发布 JDK 21.0.13（完整版本字符串 21.0.13+10）。本版符合 Java SE 21 规范（JSR 396），并随同 Critical Patch Update 周期提供安全修复；Oracle 建议按每次 CPU 更新 JDK，并提示不宜在下一次预定 CPU（2026 年 11 月 17 日）之后仍停留在本版。[1]

时区方面，21.0.13 含 IANA TZ Data 2026c：阿尔伯塔自 2026-06-18 起永久 -06，摩洛哥自 2026-09-20 起永久 +00。后续 BPR 21.0.13.0.1 还跟进了 tzdata 2026d/2026e、CLDR metazone 与 Windows 时区名对齐等修复。[1]

安全与加密：新增/完善 ML-KEM、ML-DSA 私钥 PKCS #8 编码选项；SUN 提供商增加固定长度的 SHAKE128-256、SHAKE256-512；MessageDigest 的 SHA3 族性能提升约 6%–27%（AVX-512 平台可再获额外加速）。TLS 不信任策略更新：由 Symantec、Entrust、Camerfirma 根锚定的服务器证书现一律不信任；Chunghwa 根将自 2027 年 4 月 19 日起完全不信任。LuxTrust Global Root 已从 cacerts 移除。[1]

运行时与协议：com.sun.net.httpserver.HttpServer 按 RFC 9112 校验 Host 请求头，缺失或多 Host 返回 400（可用系统属性关闭校验）；JNDI/LDAP 扩展 trustSerialData 对 RMI URL 引用的处理范围，并引入 jdk.jndi.ldap.disabledURLSchemes；JAXP TemplatesImpl 反序列化默认关闭。许可证方面，21.0.13 起 JDK 21 更新改用 OTN for Java SE，与此前 NFTC 条款不同，个人与开发用途仍可免费，其他用途需重新核对授权；JavaFX 21 在 2026 年 9 月后更新有类似变化。[1]

依赖 JDK 21 的团队应查阅完整 Release Notes 与 Oracle CPU 公告，评估时区、TLS 信任链、HTTP 服务端与 LDAP/JNDI 行为，并确认许可证是否仍覆盖现有部署场景。

说明：安全漏洞条目以 Oracle Critical Patch Update 公告为准；文中仅概述已公开行为变更，不写利用或复现步骤。

来源

[1] JDK 21.0.13 Release Notes，Oracle，2026年10月20日。

#Java #JDK21 #Oracle #安全更新 #时区