Bis zu 90 Tage können zwischen zwei vierteljährlichen Java-Sicherheitsupdates liegen. Azul hält dieses Zeitfenster angesichts der aktuellen Bedrohungslage für zu lang und hat deshalb Anfang August 2026 monatliche Critical Security Patch Updates (CSPUs) eingeführt.
Reine Sicherheitspakete statt Quartals-Sammlungen
Der neue Rhythmus gilt für Azul Core und Azul Prime. Die Pakete sollen ausschließlich sicherheitsrelevante Korrekturen enthalten. Damit will Azul die Zeit bis zur Behebung kritischer Schwachstellen reduzieren, ohne die Stabilität produktiver Java-Umgebungen durch umfangreiche Codeänderungen zu gefährden. Azul plant die Veröffentlichung der CSPUs jeweils für den dritten Dienstag eines Monats, ein Update erscheint, wenn ein vorrangiger Sicherheitsfix erforderlich ist. Für Unternehmen entsteht damit ein festerer Prozess, um Java-Patches zu prüfen, freizugeben und in den Betrieb zu überführen.
Die monatlichen Updates decken mehrere Java-Versionen ab: die unterstützten LTS-Versionen Java 8, 11, 17, 21 und 25, die aktuelle Version Java 26 sowie Java 6 und 7 im Rahmen der von Azul unterstützten Versionen. Damit richtet sich das Angebot auch an Unternehmen, die ältere Java-Versionen weiterhin in produktiven Anwendungen einsetzen, gerade dort kann ein längerer Patch-Abstand die Absicherung von Geschäftssoftware erschweren.
Stability-First soll Regressionen begrenzen
Azul unterscheidet bei seinen bisherigen vierteljährlichen Java-Releases zwischen Patch Set Updates (PSUs), die sämtliche Änderungen eines Quartals bündeln, und Critical Patch Updates (CPUs), die auf einer bereits stabilisierten Codebasis basieren und sich auf Sicherheitskorrekturen konzentrieren, ein Vorgehen, das Azul Stability-First nennt. Dieses Prinzip überträgt Azul nun auf den monatlichen Zyklus: Die CSPUs sollen gezielt Schwachstellen beheben, die als CVEs dokumentiert sind, Änderungen ohne direkten Sicherheitsbezug entfallen. Das soll die Wahrscheinlichkeit reduzieren, dass ein Sicherheitsupdate neue Fehlfunktionen in bestehenden Anwendungen auslöst.
"Monatliche, rein sicherheitsbezogene Updates sind der neue Standard, den Azul für den Schutz von Java-Umgebungen in Unternehmen setzt", sagt Scott Sellers, Co-Founder und CEO von Azul. Der Ansatz hat allerdings eine klare Grenze: Du erhältst dadurch keine allgemeine Aktualisierung der Java-Plattform, sondern ein auf kritische Sicherheitsprobleme beschränktes Paket, für funktionale Verbesserungen und weitere Korrekturen bleiben die regulären Update-Modelle relevant.
KI verschärft das Tempo bei Schwachstellen
Azul begründet die Umstellung mit einer sich beschleunigenden Sicherheitslage. Künstliche Intelligenz kann sowohl die Suche nach Schwachstellen als auch deren Ausnutzung beschleunigen, gleichzeitig nimmt die Zahl der Sicherheitslücken zu, die Hersteller und Betreiber bewerten und beheben müssen. Für die weitere Absicherung will Azul mit der OpenJDK-Community und der OpenJDK Vulnerability Group zusammenarbeiten.