Axiom JDK

🐘 Команда Gradle выпустила 9.8 RC2

Главное для Java-команд — заявленная поддержка Java 27. В релиз-кандидат также вошли повторное использование настроек Maven mirror и связанные с исходниками позиции ошибок в выводе сборки.

RC — это не сигнал немедленно обновлять рабочий wrapper. Это приглашение проверить новый стек до финального релиза. Особенно внимательно стоит прогнать плагины, convention plugins, configuration cache, корпоративные зеркала и сборки, где toolchain отличается от JVM, на которой работает сам Gradle.

Практический сценарий простой: отдельная ветка, обновление wrapper, полный CI и сравнение времени и воспроизводимости сборки. Если тесты прошли, команда заранее снимает риск несовместимости с Java 27. Если нет — получает время сообщить о проблеме до GA, не затрагивая production-процесс.

🔷 Релиз Gradle 9.8.0 RC2

🎊 Java 27 вышла: G1 везде, объекты компактнее, TLS смотрит в постквантовое будущее

Внутри — девять JEP

G1 теперь выбирается по умолчанию даже в окружениях с одним CPU или небольшим объёмом памяти. Compact Object Headers сжимают заголовок объекта с 96 до 64 бит на 64-битном HotSpot; в SPECjbb2015 это дало до 22% экономии heap. TLS 1.3 получил гибридный постквантовый обмен ключами, а JFR теперь редактирует типичные секреты ещё до записи диагностических данных.

Не только рантайм

Lazy Constants откладывают вычисление до первого обращения, выполняют его не больше одного раза и безопасно работают при конкурентном доступе. Structured Concurrency вышла в седьмое preview, а примитивные типы в pattern matching, instanceof и switch — в пятое.

Но релиз не из серии «поставил и забыл». В небольших окружениях стоит проверить переход с Serial GC на G1; Compact Object Headers при проблемах можно отключить флагом -XX:-UseCompactObjectHeaders; а вручную ограниченный список TLS named groups не даст включиться гибридному обмену. Перед обновлением стоит проверить контейнерные лимиты, JVM-флаги и TLS-настройки. 

И главное: Java 27 — не LTS. Четыре JEP остаются в preview, а Vector API — в incubator. Поэтому релиз скорее подходит для проверки совместимости и новых API, чем на роль новой опорной production-ветки. 

🔷 Если хочется пройтись по каждому JEP с примерами, флагами и тем, что проверить при обновлении, у нас вышел подробный разбор Java 27 на Хабре. А ранний обзор девяти JEP — найдете Блоге Axiom JDK.

📝📝📝📝 Инвестиции пяти крупнейших технологических компаний в инфраструктуру искусственного интеллекта в 2026 году достигнут $660–690 млрд, тогда как прямая выручка ИИ-бизнеса оценивается всего в $51 млрд.

Банк международных расчетов (BIS) и ряд экономистов видят в этом признаки пузыря, сравнивая ситуацию с крахом доткомов. Китайский экономист и глава Baidu Робин Ли прогнозирует, что лишь 1% ИИ-компаний переживет возможный будущий крах — это, по его мнению, приведет к формированию более стабильного рынка с реалистичными сценариями применения технологии.

В России, где на бирже не торгуются компании, которые специализируются исключительно на разработке ИИ, развитие сдерживают высокие ставки по кредитам и дефицит электроэнергии.

💬 «У российской модели есть определенный запас устойчивости именно потому, что значительная часть инвестиций связана не только с венчурными ожиданиями. ИИ встроен в государственную технологическую повестку, программы цифровой трансформации и стратегии крупнейших компаний, поэтому одномоментного прекращения инвестиций вслед за глобальной рыночной коррекцией ожидать не следует. При этом такая модель имеет другое ограничение. Наличие крупного корпоративного или государственного заказчика способно обеспечить финансирование технологии, но само по себе не обеспечивает ее экономическую эффективность. Поэтому устойчивость российской модели будет определяться не объемом выделяемых средств, а способностью переводить инвестиции в промышленную эксплуатацию», — считает гендиректор Axiom JDK Роман Карпов.

👉 Как мир готовится к новому финансовому кризису из-за ИИ, разбирался «Ъ».

🤖 Пишем про ИИ без ИИ. Подписывайтесь.

⏳ Spring Boot 3.5 остался без публичной поддержки. А что дальше?

В июне 2026 года закончилась публичная поддержка Spring Boot 3.5. Приложения не остановились, но появляющиеся уязвимости могут превратить плановую миграцию в аврал.

Мы в Axiom JDK опросили более 300 Java-специалистов. Большинство регулярно используют Spring, а выборка в основном отражает опыт крупного бизнеса и финтеха.

Что видно сразу?

🕒 Больше половины не знали о сроках окончании поддержки. 53,5% не знали дату, а 55,8% не смогли определить допустимый срок работы без публичных обновлений.

🧩 Версии живут параллельно. Spring Boot 3.x используют 83,7%, 2.x — 21,2%, а 32,7% работают сразу с несколькими поколениями.

🚀 Переход на Spring Boot 4 уже начался: 18,9% уже начали или завершили миграцию, у  41% она в планах.

🛠 Поддержку считают важной, но лишь четверть готова к ней обратиться: 61,2% отметили практическую ценность, а 26,9% используют или рассматривают внешнюю поддержку.

Картина двойственная: часть уже работает над переходом, но у большинства нет четкого плана действий на период после окончания открытой поддержки. Важно заранее определить ответственного, сроки и источник исправлений. 

Кто чаще инициирует обновления и где между разработкой и ИБ возникает разрыв ответственности — разобрали в статье Блога.

👀 И это только то, что бросается в глаза. Полные данные, анализ рисков и практические ориентиры — в отчёте об исследовании.

💥 Java Rock Star Meetup — уже в ближайшую пятницу

18 сентября будем разбираться, для чего нужны value-типы и как Project Valhalla пытаются наконец довести до финиша, а ещё — как в агентном SDLC сохранить связь между требованиями, инженерными решениями, кодом и реальным поведением системы.

А пока — делимся важной организационной информацией.

Расписание:

18:00–19:00 — сбор гостей
19:00–19:05 — открытие
19:05–20:00 — Иван Углянский: «Проект Valhalla, или Как добавить value-типы в Java, не превращая её в C++», доклад + Q&A-сессия
20:00–21:00 — Максим Козлов: «Мы точно сделали то, что требовалось? От требования к результату в агентном SDLC», доклад + Q&A-сессия
После 21:00 — афтепати и квиз

📍 Москва, Лофт Casa Picassa, ул. Бауманская, 11, стр. 8, зал «Кандинский». Митап начинается в час пик, поэтому рекомендуем продумать маршрут заранее. 

❗️Для участия нужно зарегистрироваться. Если вы еще не успели, то сейчас самое время. Принять участие в митапе.

До встречи🤘

❗️ Jackson пропустил Comparable: патчи уже вышли, проверяем конфиг

В jackson-databind раскрыли CVE-2026-83557 с оценкой CVSS 5,6. Причина: java.lang.Comparable не попал в список потенциально опасных типов DefaultBaseTypeLimitingValidator.

Уязвимость проявляется при сочетании трёх условий: @JsonTypeInfo, базовый тип Comparable и отсутствие строгого PolymorphicTypeValidator.

В таком случае входные данные могут заставить Jackson создать объект неожиданного класса. В proof of concept исследователи получили java.io.File с произвольным путём. Само по себе это не RCE: последствия зависят от того, как приложение использует объект дальше.

Патчи уже выпустили: Для Jackson 2 — версии 2.18.10, 2.21.6 и 2.22.2; для Jackson 3 — 3.1.6 и 3.2.2.

Сейчас стоит:

1. Обновить jackson-databind до исправленной версии.
2. Найти места, где @JsonTypeInfo используется вместе с Comparable.
3. Проверить настройки PolymorphicTypeValidator.

🔷 Источник: GitHub Security Advisory — CVE-2026-83557

🔎 Java-приложение тормозит. Кто виноват: код, GC или Python?

Когда сервис начинает активно есть память или отвечать медленнее обычного, не всегда хочется сразу раскручивать полноценный профайлер. Стоит сначала заглянуть внутрь JVM и понять, где вообще искать проблему.

Для этого команда Axiom JDK сделала Profiling Tools — плагин для OpenIDE.

🖥 Прямо внутри среды разработки можно подключиться к локальному Java-процессу и посмотреть:

— CPU JVM и общую загрузку процессора;
— heap, non-heap и GC Load;
— потоки, их состояния, CPU Load и выделенную память;
— стектрейсы, а для процессов, запущенных из OpenIDE, перейти к нужной строке кода.

Как заметить подозрительный рост heap и проверить работу GC, найти внешний процесс, который отъедает CPU у Java, и понять, действительно ли тормозит сервис или ему просто почти не прилетают запросы?

🔷 Какие метрики смотреть в каждом случае и как по ним сузить поиск проблемы — разобрали на Хабре.

🧔 33 богатыря CVE в Jenkins: для большинства уже вышли исправления

2 сентября команда Jenkins опубликовала security advisory с 33 CVE в Jenkins Core, 17 плагинах и update-center2. Хорошая новость: для большинства проблем исправления уже вышли. Плохая: один плагин пока остаётся без патча. 

Одна из самых серьёзных уязвимостей затронула Jenkins Core 2.579 и ниже, а также LTS 2.568.2 и ниже. Специально сформированный config.xml мог открыть доступ к Script Console и привести к RCE. Исправление вышло в Jenkins 2.580 и LTS 2.568.3.

Обновления есть и для большинства затронутых плагинов, включая Performance, File Parameter, SAML и Allure. Поэтому одним обновлением Core здесь не отделаться: стоит проверить и версии установленных плагинов.

🖥 Без патча пока остаётся Parameterized Remote Trigger Plugin 3.2.2 и ниже. 

Он хранит токены открытым текстом в config.xml. Пока исправления нет, риск можно снизить, ограничив Item/Extended Read и доступ к файловой системе Jenkins Controller, а ненужный плагин временно отключить.

❓Что делать? 

Обновить Core, пройтись по плагинам и отдельно закрыть доступ к компоненту без патча. 

Подробности: Jenkins Security Advisory 2026-09-02

Мы дополнили программу Java Rock Star Meetup

🎤 Новый доклад — Максим Козлов: «Мы точно сделали то, что требовалось? От требования к результату в агентном SDLC» 

AI-агенты ускоряют разработку, но не снимают главный вопрос: соответствует ли получившийся результат исходному требованию. Максим Козлов, сооснователь и технический директор GitFlic, разберёт, как сквозная трассируемость и обратная связь помогают сохранить связь между требованиями, инженерными решениями, кодом и поведением системы после релиза — и какое место в этом процессе могут занимать AI-агенты.

⚙️ Иван Углянский: «Проект Valhalla, или Как добавить value-типы в Java, не превращая её в C++»

Поговорим о Project Valhalla и value-типах в Java: зачем они нужны, какие варианты реализации уже успели попробовать и почему нынешний подход даёт надежду наконец довести проект до финиша.

🎸 Ну а после докладов — традиционные розыгрыш, квиз и фирменная ламповая атмосфера.

До митапа чуть больше недели. Регистрируйся, добавляй событие к себе в календарь и готовь вопросы спикерам — увидимся на Java Rock Star!

🤘 Хочу на митап

#видеозаписи

Одна IDE для разных стеков и команд — запись вебинара готова

Илья и Фёдор Сазоновы продемонстрировали работу OpenIDE Pro в рамках основных сценариев. Навигацию и рефакторинг — показали, к БД — подключились, с SQL-консолью и схемами — поработали. Ну и про AI-агентов не забыли! 

Получился живой и легкий обзор возможностей ультимативной IDE, закрывающей потребности как разработчиков, так и руководителей.

Смотреть

🤖 ИИ-агенты в Java: без бесконечных циклов и самописных state machine

Собрать агента для демо — задача на вечер. Выпустить его в прод — уже квест. LLM может зациклиться, дважды дёрнуть опасный тул, забыть состояние после рестарта или запросить аппрув, когда ожидаешь уже готовый результат.
 
Quarkus предложили оформлять такие процессы как явные workflow. В связке работают:

— Quarkus Flow — управляет переходами, повторами, ветвлениями и лимитами итераций;
— LangChain4j — описывает самих агентов;
— MCP — подключает поиск, базы данных и внешние API;
— AGENTS.md — хранит роли, формат ответа и правила поведения.

В демо Writer Agent ищет фактуру через Brave Search MCP, а Critic Agent ревьюит текст. Не прошёл проверку? Ещё один прогон. Но не до бесконечности — максимум три. Workflow собирается через @LoopAgent и @ExitCondition, а следить за процессом можно в Dev UI и OpenTelemetry. 

💡Для Java-команд идея здравая: агенты остаются в привычном стеке, а вместо чёрного ящика появляются явные переходы, лимиты и точки контроля.  

Правда, интеграция Quarkus Flow с LangChain4j пока в Preview. И один только AGENTS.md не заменит права на тулы, изоляцию и аудит. В проде агенту мало быть умным — ему нужны наблюдаемость и чёткие границы.

Разбор и пример кода на DZone

🎸 Java Rock Star Meetup возвращается с летних каникул! 

18 сентября по традиции устраиваем самый уютный Java-фестиваль: с докладами, холиварами и разговорами, которые заканчиваются сильно позже официального Q&A.

Начинаем рассказывать о программе: 

🎤 Иван Углянский — “Проект Valhalla, или Как добавить value-типы в Java, не превращая её в C++”

Зачем Java нужны value-классы? Почему их внедрение растянулось на годы и переросло в масштабный рефакторинг JVM? И причем тут Вальгалла? Покажем подходы, упрощенное решение и задачи, в которых пригодятся value-классы. 

📅 18 сентября, сбор с 18:00
📍 Москва, лофт Casa Picassa

Для участия ничего не нужно, кроме регистрации.

#видеозаписи 

🐳 Безопасность начинается с базового образа

Уязвимость в контейнере может прийти не из вашего кода, а из системной библиотеки, старого пакета или утилиты внутри публичного base image. И обнаруживается это часто перед самым релизом: сканер показывает десятки CVE, ИБ блокирует поставку, а DevOps начинает разбирать чужие слои.

И сразу возникают следующие вопросы:
— А кто вообще отвечает за базовый образ после его добавления в Dockerfile?
— Можно ли доверять образу без прозрачного состава, SBOM и цифровой подписи?
— Кто будет отслеживать CVE, пересобирать и тестировать его годами?
— И нужно ли выстраивать отдельный процесс внутри компании специально под эту задачу?

Здесь в дело вступают Axiom Trusted Images — готовые базовые образы с фиксированным составом, SBOM, цифровой подписью, мониторингом CVE и SLA на исправления. 

Максим Лебедев, Developer Advocate Axiom JDK, подробно разобрал всё это в большом видео: как устроены Axiom Trusted Images, зачем нужны distroless- и rootless-профили и как оценить результат на одном сервисе за один спринт. 

А ещё — как Axiom Trusted Images берут на себя сборку, проверку и обновление базовых образов, освобождая инженеров от этой рутины и сокращая затраты на сопровождение. 

🌐 YouTube |🌍 VK Видео

#вебинар

❓ Что умеет OpenIDE Pro? Расскажем и покажем на примерах уже завтра

Разберём Java/Spring и другие стеки, PHP и C#, встроенный DB-клиент и работу с данными — все в контуре одной IDE. 

Заодно посмотрим, как подключать AI-инструменты и агентов и какие задачи разработки им можно отдавать, не переживая, что все сломается.

⏱ Онлайн, участие бесплатное. Начнем в 11:00 по Москве.

🔷 Ссылка на регистрацию

#релиз

⏳ Выпустили первые ежемесячные CSPU-релизы сразу для двух продуктов

Квартальные CPU остаются, а дополнительные обновления позволяют получать исправления безопасности быстрее.

Axiom JDK

Семейство дистрибутивов Java для разработки и запуска приложений обновилось до версий 26.0.2.1, 25.0.4.1, 21.0.12.1, 17.0.20.1, 11.0.32.1 и 8u504. Закрыли 4 CVE, включая уязвимость с оценкой 7,5 по CVSS, и добавили 23 исправления и бэкпорта.

🔷 Подробнее об обновлении Axiom JDK

Axiom NIK Pro

Инструмент на базе GraalVM преобразует JVM-приложения в нативные исполняемые файлы, ускоряя запуск и снижая потребление памяти. Первый CSPU вышел для JDK 17, 21 и 25: 23.0.13.1, 23.1.12.1 и 25.0.4.1. Уязвимостей в релизе не обнаружено, а входящий в сборки Axiom JDK Pro обновлён до актуальных CSPU-версий.

🔷 Подробнее об обновлении Axiom NIK Pro

Мы рекомендуем всегда обновляться до самых свежих версий, чтобы уровень безопасности ваших систем оставался максимально высоким.

Где скачать

— Axiom JDK для разработчиков доступна в личном кабинете;
— Клиентские версии Axiom JDK Pro, Axiom JDK Certified и Axiom NIK Pro — на портале поддержки.