Veille Java / Architecture hexagonale / C4

Synthèse du 2026-10-06

Tue, 06 Oct 2026 05:30:00 +0000

Veille réduite : openjdk.org, inside.java et blogs.oracle.com sont inaccessibles depuis l'environnement. À retenir : Spring passe à un rythme de correctifs mensuel unique (« Patch Thursday », premier jalon le 22 octobre) face à la hausse des CVE. Oracle annoncerait aussi un changement de licence pour les mises à jour d'Oracle JDK 21 dès le CPU d'octobre, à confirmer. Aucune alerte de sécurité nouvelle vérifiée.

Synthèse du 2026-10-05

Mon, 05 Oct 2026 05:30:00 +0000

Veille réduite : plusieurs sources primaires (openjdk.org, quarkus.io, inside.java) étaient inaccessibles depuis l'environnement. À retenir : Quarkus 4.0.0.Beta1 (Java 21 minimum) et deux JEP ciblant JDK 28 signalés par Baeldung, à confirmer. Aucune alerte de sécurité nouvelle vérifiée.

Synthèse du 2026-10-02

Fri, 02 Oct 2026 05:30:00 +0000

Journée calme côté Java, hexagonal et C4 : aucune release majeure vérifiée dans la fenêtre. Deux avis de sécurité à sévérité élevée touchent jackson-core (DoS) ; les correctifs sont disponibles dans les branches 2.18, 2.21, 2.22 et 3.x.

Synthèse du 2026-09-30

Wed, 30 Sep 2026 05:30:00 +0000

Journée calme. Le point hebdomadaire Spring recense une vague de jalons (Boot 4.2.0 M2, Security 7.2.0-M2, Data, Batch) et aucune correction de sécurité. Rien de nouveau n'a pu être vérifié en source primaire sur les thèmes hexagonal et C4 dans la fenêtre.

[Java] Oracle JDK 21 : mises à jour sous licence OTN dès le CPU d'octobre 2026

Tue, 06 Oct 2026 05:00:00 +0000

Selon un article du blog Java d'Oracle relevé via un moteur de recherche (page non lisible directement), les mises à jour d'Oracle JDK 21 publiées à partir du CPU d'octobre 2026 passeraient sous licence Java SE OTN, comme Java 8, 11 et 17. Oracle recommanderait JDK 25 ou ultérieur pour rester sous licence permissive. Date de publication et détails non vérifiés ; les distributions OpenJDK (Temurin, Corretto) ne sont pas concernées par cette annonce.

Pourquoi c'est important : Les équipes qui utilisent Oracle JDK 21 doivent vérifier leur licence ou migrer vers JDK 25 ou une distribution OpenJDK.

Action suggérée : surveiller · Source : blogs.oracle.com · Publié le 2026-10-05 · Confiance : faible

[Sécurité] Spring adopte un « Patch Thursday » mensuel face à l'afflux de CVE

Tue, 06 Oct 2026 05:00:00 +0000

L'équipe Spring regroupe désormais ses correctifs sur un seul jour par mois, le jeudi suivant le troisième lundi. Elle explique avoir reçu près de 80 signalements de sécurité par mois depuis mars et corrigé plus de 160 CVE ; la page des avis de sécurité est refondue avec filtres par gravité et projet. Le premier lot de correctifs est annoncé pour le 22 octobre 2026. Publication hors fenêtre de 72 h, retenue comme article de fond récent.

Pourquoi c'est important : Les équipes doivent caler leurs montées de version Spring sur ce rythme mensuel et s'attendre à un volume élevé de correctifs de sécurité.

Action suggérée : surveiller · Source : spring.io · Publié le 2026-09-21 · Confiance : élevée

[Java] JEP 540 : API JSON simple (incubation) ciblée pour JDK 28

Mon, 05 Oct 2026 05:00:00 +0000

La newsletter Java Weekly n°666 signale que le JEP 540, une API JSON simple en incubation, a été ciblé pour JDK 28 le 2 octobre. Elle mentionne aussi le JEP 541, qui déprécie le port macOS/x64 en vue de sa suppression. Informations relayées par une source secondaire, non recoupées avec openjdk.org (inaccessible).

Pourquoi c'est important : Une API JSON dans le JDK pourrait à terme réduire la dépendance à Jackson ou Gson pour les cas simples.

Action suggérée : surveiller · Source : baeldung.com · Publié le 2026-10-02 · Confiance : faible

[Java] Quarkus 4.0.0.Beta1 : première bêta de la prochaine version majeure

Mon, 05 Oct 2026 05:00:00 +0000

La page des releases GitHub de Quarkus liste une préversion 4.0.0.Beta1 publiée le 1er octobre. Elle fixerait Java 21 comme version minimale et intégrerait Hibernate 8 ainsi que Jakarta REST 4. Publication juste en dehors de la fenêtre de 72 h ; le détail des changements cassants n'a pas pu être lu sur le blog officiel.

Pourquoi c'est important : Une majeure avec baseline Java 21 impose de planifier dès maintenant la migration des applications Quarkus.

Action suggérée : surveiller · Source : github.com/quarkusio/quarkus · Publié le 2026-10-01 · Confiance : élevée

[Sécurité] jackson-core : consommation mémoire non bornée dans UTF8DataInputJsonParser (DoS)

Fri, 02 Oct 2026 05:00:00 +0000

CVE-2026-89425, gravité haute (CVSS 7.5). Le parseur DataInput construit le message d'erreur d'un jeton invalide sans respecter maxErrorTokenLength, d'où un risque d'OutOfMemoryError. Concerne jackson-core 2.8.0 à 2.18.10, 2.19.0 à 2.21.6, 2.22.0 à 2.22.2 et tools.jackson.core 3.x ; corrigé en 2.18.11, 2.21.7, 2.22.3, 3.1.7 et 3.2.3. L'avis a été publié upstream le 22/09 et référencé par GitHub le 01/10.

Pourquoi c'est important : Jackson est présent dans presque toutes les applications Spring : le risque de déni de service justifie une montée de version.

Action suggérée : corriger · Source : GitHub Security Advisories · Publié le 2026-10-01 · Confiance : élevée

[Sécurité] jackson-core : ReDoS quadratique dans NumberInput.PATTERN_FLOAT

Fri, 02 Oct 2026 05:00:00 +0000

CVE-2026-89407, gravité haute (CVSS 7.5). L'expression régulière de lecture des flottants a un comportement quadratique sur certaines entrées, et la limite appliquée est maxStringLength (20 M de caractères) plutôt que maxNumberLength. Concerne jackson-core 2.17.0 à 2.18.10, 2.19.0 à 2.21.6, 2.22.0 à 2.22.2 et 3.0.0 à 3.2.1 ; corrigé en 2.18.11, 2.21.7, 2.22.3, 3.1.7 et 3.2.2. Avis publié upstream le 22/09.

Pourquoi c'est important : Quelques requêtes JSON forgées peuvent saturer les threads d'un service exposé ; à traiter avec le correctif précédent.

Action suggérée : corriger · Source : GitHub Security Advisories · Publié le 2026-10-01 · Confiance : élevée

[Java] Point hebdomadaire Spring : jalons Boot 4.2.0 M2, Security 7.2.0-M2 et Batch 6.1.0-M2

Wed, 30 Sep 2026 05:00:00 +0000

La lettre hebdomadaire de Josh Long liste les jalons publiés les 24 et 25 septembre : Spring Boot 4.2.0 M2 (bundles SSL pour LDAP/LDAPS, conventions sémantiques OpenTelemetry, configuration de l'endpoint OTLP), Spring Security 7.2.0-M2, Spring Data 2026.1.0-M2, Spring Batch 6.1.0-M2 et Spring Cloud 2026.0.0-M1. Aucune correction de sécurité n'y est mentionnée.

Pourquoi c'est important : Permet d'anticiper la prochaine version mineure de Boot et de Security avant sa sortie finale.

Action suggérée : surveiller · Source : spring.io · Publié le 2026-09-29 · Confiance : élevée