Java 生态近期出现一批重要变更，核心是 JDK 28 的三个 JEP 同时进入 Targeted 阶段，分别面向垃圾收集器的自适应调优、启动性能与并发编程模型。除此之外，Azul Payara、Gatherers4j、Yupiik Fusion、ADK for Java/Kotlin 以及 Apache Camel 也各自发布了新版本或安全更新。

JDK 28：ZGC 自适应堆与结构化并发共三项 JEP 定位 Targeted

JEP 546《ZGC 自适应堆大小调整》已从 Proposed to Target 晋级为 Targeted，目标版本为 JDK 28。据 Oracle 相关 JEP 描述，该提案旨在让 Z 垃圾收集器具备按需伸缩堆容量的能力：它会结合可用资源、应用自身的需求，以及与被收集进程争用相同资源的邻近应用需求，对堆大小做出动态调整。

与前者同期转入 Targeted 的还有 JEP 545《使用 ZGC 加快启动和预热》。该提案面向启动与预热阶段，希望 Z 垃圾收集器能够更迅速地按应用所需获取并准备物理内存，从而提升启动速度与预热效率。

第三个进入 Targeted 的 JEP 是 543《结构化并发》。按计划版本号，这项特性将在 JDK 28 中定稿，且 JEP 544 的文本明确说明不作修改直接转正。此前这项特性经历了长时间的打磨：在 JDK 19、JDK 20 上完成了两轮孵化，随后又在 JDK 21 一直到即将发布的 JDK 27 之间经历了七轮预览。它的核心思路是把分处不同线程的一批关联任务当作单个工作单元来对待，从而简化异常处理与取消操作，同时提升可靠性和可观测性。

按照约定时间表，JDK 28 的早期访问版已推出 Build 20，这一构建包含 Build 19 之后的若干更新内容，涉及多类问题的修复，官方在发行说明中给出了对应说明。开发者还被鼓励通过 Java Bug Database 汇报 JDK 28 的缺陷。

Azul Payara 7.5.0 发布：权限门槛降低并修复两处 RCE

2026 年 10 月版 Azul Payara 更新至 7.5.0，具体涵盖 Community Edition 7.2026.10、Enterprise Edition 6.43.0 和 Enterprise Edition 5.92.0 三条产品线。除缺陷修复与组件升级外，这些版本还带来了一些实用功能：SSH 节点运行时不再需要提升权限；新增的 delete-jvm-option 与 delete-system-properties 两个属性让使用者可以直接在命令行上完成参数删除等配置管理操作。

该版本同步解决了两处安全编号条目。CVE-2026-2586 是与管理控制台相关的远程代码执行缺陷，只要能访问控制台，攻击者就能构造恶意请求，并以应用服务用户的身份在目标系统上执行任意命令。CVE-2026-2587 涉及服务器端模板渲染机制，同样属于远程代码执行问题，一旦被杀链利用，攻击方可触达主机层，完成数据读取与篡改、指令执行、加装持久化后门以及在内网横向挪移等操作。更多改动项可在官方发行说明中查阅。

Gatherers4j 0.15.0：统计型 Gatherer 与加权移动平均值

Gatherers4j 0.15.0 除修复已知问题外，新增了一组用于统计的 Gatherer：movingStatistics()、movingStatisticsBy()、runningStatistics() 与 runningStatisticsBy()，每一次处理都会输出一个 StatisticalSummary 记录实例。版本中还加入了 movingWeightedMean() 和 movingWeightedMeanBy()，用于计算加权移动平均，权重可选用线性方式，也可由开发者自己提供，排列顺序为从最老元素至最新元素。官方提示感兴趣的读者到发行说明中查看包括破坏性变更和行为变化在内的完整清单。

衍生框架连发新版本：Yupiik Fusion、ADK for Java/Kotlin 与 Cli 细节变更

Yupiik 方面发布的 Fusion 1.2.0 覆盖缺陷修复、文档改善、依赖更新与多项新能力。其中一个改动是 CliDocumentationGenerator 不再沿用父类 Launcher，转而调用 CliLauncher，由此得以在命令中支持多 segment 的方案标记。该版本也存在一处不兼容调整：HandlebarsCompiler 类的实现被扩展，作用是让行为更贴近 Handlebars 的原语义。

ADK for Java 1.12.0 也在修复缺陷的同时加入了若干特性。ContextCacheConfig 类构造器完成重构，用 cacheIntervals 和 createHttpOptions 两个参数接替已被废弃的 maxInvocations。工作流图方面则引入了 Node 接口、它的 BaseNode 与 Start 实现类以及 Edge 记录等新类型。

面向 Kotlin 开发者的 ADK for Kotlin 1.4.0 也做了类似更新。该版本带来用于搭建工作流图的 EdgesDsl 领域 DSL 类，并提供 ChatCompletions 类，用于承接 OpenAI Chat Completions API 以及具备兼容性的端点后端。

Apache Camel 修复 38 项漏洞，Claude 工具发现 28 项

Apache Camel 项目组发布通报，显示影响该框架多个组件的漏洞共被修复了 38 个。在缺陷维度上存在两种等级：被列为高危的共 13 个，中等风险类型的有 25 个。针对常见漏洞与暴露（CVE）数量的统计口径也值得关注：Code Glasswing 项目的 Claude 参与查找后发现 28 个问题，另 10 个则来自其他安全研究者自己报的道路。使用方被建议及时升级到 4.23.0、4.22.1 或 4.18.5 三个修订位之任一以规避风险。

小结：本批动态同时落脚在生产率与安全性上：JDK 28 用结构化同步转换化为并发直觉编程模型并简化取消逻辑，提高了调优自动化程度；控件质量方面最值得建立动作项的是用 4.22.1 及配套四个补丁锁定的防护；升级 3D 预演收益等仍需在完整环境中验证。综述来源于 Michael Redlich 所写、发表于专门报道开发者生态变化平台的长篇文献，读者可参照上述公告执行技术决策流程进一步细化使用于具体审计需求的基础上整理完成。