Axiom JDK

🎬 Видео с сентябрьского Java Rock Star Meetup готовы! Вспоминаем, о чём говорили: ⚙️ Иван Углянский рассказал историю Project Valhalla: зачем нужны Java value-типы, почему их реализация затянулась на годы и чем интересен новый подход. 🤖 Максим Козлов разобрал, как сохранить связь между требованиями и результатом в агентном SDLC, зачем нужны трассируемость и обратная связь и какую роль во всём э…

🛰 Метрики нужны, а легаси трогать нельзя. Что делать с OpenTelemetry? Знакомая история: система работает годами, новые агенты в неё не поставить, обновления случаются редко. А понимать, что происходит внутри, всё равно нужно. Кажется, OpenTelemetry должен помочь. Но тут есть подвох: вместе с мониторингом можно случайно открыть лишние точки доступа, соединить ранее изолированные сети или отправит…

🎙 Предъявите ваше РБПО! Безопасная разработка в России: уже привычная практика или всё ещё головная боль? Что у компаний получается, а где еще предстоит найти рабочие решения? В подкасте «За рамками кода» обсудили, как компании справляются с задачами РБПО, какие практики стоит брать на вооружение и зачем вообще контролировать весь жизненный цикл ПО. Заодно попытались заглянуть в будущее: куда д…

После завершения открытой поддержки в старых версиях Spring всё ещё находят новые уязвимости. Но вот на публичные исправления рассчитывать уже не приходится. Просто следить за списком уязвимостей явно недостаточно. Нужно понимать, что именно используется в приложении, какие зависимости затронуты и как действовать, если нет возможности оперативно мигрировать на свежую версию. Как выстроить работу…

🔍 Как проверить 7 000 000 строк JDK? Мы внедрили Svace и платформу Svacer от ИСП РАН в процесс анализа кодовой базы Axiom JDK. Задача была не просто добавить ещё один SAST. Кодовая база JDK огромная, а требования к безопасной разработке и сертификации растут. Поэтому нужен инструмент, который умеет глубоко разбирать межпроцедурные связи и нормально работает на таком масштабе. Результат Svace…

🏎 Постквантовая криптография в JDK становится быстрее В JDK уже есть ML-KEM и ML-DSA, но их базовая Java-реализация рассчитана прежде всего на переносимость. В JDK 28 HotSpot начинает точечно подменять самые тяжёлые операции оптимизированным машинным кодом под конкретную архитектуру. Существенный ли прирост? В опубликованных тестах ускорение местами доходит до 218% — то есть операция выполняе…

🛡 В Spring LDAP обнаружили CVE-2026-41720, из-за которой приложение при определённых условиях могло принять пустой пароль за успешную аутентификацию. Но это не значит, что без пароля можно было войти в любой LDAP. Для эксплуатации требовалось совпадение ряда условий: • уязвимая версия Spring LDAP; • атакующий знал существующее имя пользователя; • пустой пароль или null; • LDAP-сервер разрешил …

🖥 JDK 27 меняет сразу два runtime-дефолта, которые могут повлиять на поведение сервиса даже без правок в коде 1. Compact Object Headers теперь включены по умолчанию. На типичной 64-битной HotSpot-конфигурации заголовок объекта уменьшается с 12 до 8 байт. 2. G1 теперь GC по умолчанию вообще везде, в том числе в небольших контейнерах и однопроцессорных средах, где раньше JVM могла выбрать Serial G…

🛠 Spring перестраивает расписание обновлений Раньше патчи разных Spring-проектов выходили по очереди, и весь цикл растягивался примерно на две недели. Теперь вместо него появится Patch Thursday: плановые обновления и CVE-фиксы будут выпускать вместе, в четверг после третьего понедельника месяца. ❓ Почему так? Поток security-репортов резко вырос: • Раньше команда получала 6-7 сообщений в месяц,…

🍃 Spring после EOL: кто будет закрывать новые уязвимости? Spring вместе с транзитивными зависимостями может составлять до 90% современного приложения. После окончания публичной поддержки версии 3.5 код продолжает жить, а новые уязвимости никуда не исчезают. Еще и ИИ в разы ускорил поиск слабых мест, и теперь нет более удобной мишени, чем старые версии без патчей. 20 октября будем разбираться, ч…