JDK 25.0.5 发布：安全基线、时区数据与多项安全库更新

Oracle 发布 Java SE Development Kit 25 Update 25.0.5（JDK 25.0.5），发布日期为 2026年10月20日。完整版本字符串为 25.0.5+9，符合 Java SE 25 规范（JSR 400，2025-09-16）。同日页面还列出 BPR 25.0.5.0.1 等补丁说明，含临时目录配置、tzdata 2026d/2026e cherry-pick 与部分北美地名对齐等条目，部署时需按实际构建号核对。[1]

时区数据方面，发行说明写明本更新包含 IANA TZ Data 2026c，举例包括：Alberta 于 2026-06-18 起固定 -06；Morocco 于 2026-09-20 起固定 +00。跨时区调度、报表与日志对齐的系统，升级后应回归关键用例。[1]

安全基线表给出各家族对应全版本串，例如 JRE 25 家族为 25.0.5+9，并与 21.0.13+10、17.0.21+9、11.0.33+9、8u511-b09 等并列。Oracle 建议按 Critical Patch Update 节奏升级；说明写明不建议在下一次 CPU（文中写定于 2026年11月17日）之后仍继续把本版当作最新补丁基线。[1]

功能与安全向变更摘要包括：PKCS12 KeyStore 支持 RFC 9879 PBMAC1（可通过 keystore.pkcs12.macAlgorithm 配置，例如 PBEWithHmacSHA256）；不信任策略调整（Symantec / Entrust / Camerfirma 根锚 TLS 服务器证书不论签发日一律不信任，Chunghwa 根计划于 2027年4月19日起完全不信任）；HttpServer 按 RFC 9112 校验 Host 头；JNDI/LDAP 对 RMI URL 引用处理范围扩展并引入 jdk.jndi.ldap.disabledURLSchemes；移除 LuxTrust Global Root；TLS 1.3 后量子混合密钥交换（如默认优选的 X25519MLKEM768，见 JEP 527）；以及 Templates 反序列化默认关闭等。页面还附有客户端库、编译器、GC、安全库等修复表，具体 CVE 以 Oracle CPU 公告为准。[1]

生产环境升级前，建议对照发行说明核对时区、TLS 信任锚与 PKCS12/JNDI 相关系统属性是否影响现有集成测试。

来源

[1] Java SE Development Kit 25, 25.0.5 Release Notes，Oracle，2026年10月20日。

#JDK #Java #25.0.5 #安全更新 #时区