Ab August 2026 will Azul kritische Sicherheitsupdates für Java nicht mehr vierteljährlich, sondern monatlich veröffentlichen. Betroffen sind laut Unternehmensangaben alle unterstützten LTS-Versionen von Java 6 bis Java 26.
Azul stellt sein Update-Schema für Java-Sicherheitspatches um: Statt wie bisher vierteljährlich will das Unternehmen ab August 2026 monatlich kritische Sicherheitsupdates (Critical Security Patch Updates, CSPUs) für alle unterstützten Java-Long-Term-Support-Versionen bereitstellen. Die Neuerung betrifft laut Unternehmensangaben sowohl die Produktlinie Azul Core als auch Azul Prime.
Mit dem bisherigen Drei-Monats-Rhythmus lasse sich die aktuelle Bedrohungslage nicht mehr angemessen abdecken, begründet Azul den Schritt. Tauche kurz nach einem geplanten Update eine schwerwiegende Schwachstelle auf, bleibe diese unter Umständen wochenlang ungepatcht, bis der nächste reguläre Fix erscheine. Durch den Wechsel auf einen monatlichen Turnus soll dieses Zeitfenster verkürzt werden, ohne die für den Produktivbetrieb nötige Stabilität zu gefährden.
Als Hintergrund für die Umstellung nennt Azul den Einfluss künstlicher Intelligenz auf die Sicherheitslandschaft. KI-Systeme würden sowohl von Verteidigern als auch von Angreifern eingesetzt, um Schwachstellen schneller zu identifizieren und auszunutzen. Gleichzeitig nehme die Zahl der zu behebenden Sicherheitslücken zu. Vor diesem Hintergrund sei eine Wartezeit von bis zu 90 Tagen bis zum nächsten Quartalsupdate aus Sicht des Unternehmens kaum noch vertretbar.
Die neuen CSPUs sollen künftig jeweils am dritten Dienstag eines Monats veröffentlicht werden, sofern ein vorrangiger Fix erforderlich ist. Damit erhalten Unternehmen laut Azul einen planbaren Sicherheitsrhythmus, statt auf das nächste Quartalsupdate warten zu müssen. Die monatlichen Patches sollen für alle aktuell unterstützten LTS-Versionen bereitgestellt werden, konkret für Java 8, 11, 17, 21 und 25 sowie für die aktuelle Version Java 26. Auch für die von Azul separat unterstützten älteren Versionen Java 6 und 7 will das Unternehmen den monatlichen Rhythmus anwenden, sodass auch Betreiber älterer Java-Installationen davon profitieren sollen.
Inhaltlich orientiert sich Azul an einem Modell, das bereits für die bisherigen vierteljährlichen Updates zum Einsatz kam. Neben den umfassenden Patch Set Updates (PSUs), die sämtliche Änderungen eines Quartals bündeln und in der Regel mehrere Hundert Einzeländerungen umfassen, veröffentlicht Azul separat Critical Patch Updates (CPUs). Diese bauen auf einer stabilisierten, produktionserprobten Codebasis auf und enthalten ausschließlich sicherheitsrelevante Korrekturen. Die neuen CSPUs übertragen dieses CPU-Prinzip nach dem sogenannten „Stability-First“-Ansatz auf einen monatlichen Turnus: Sie sollen gezielte Fixes für bekannte, als CVE (Common Vulnerabilities and Exposures) erfasste Schwachstellen liefern, ohne zusätzliche funktionale Änderungen, die das Risiko von Regressionen erhöhen könnten. Azul erklärt, weiterhin eng mit der OpenJDK-Community und der OpenJDK Vulnerability Group zusammenzuarbeiten.
Scott Sellers, Mitgründer und CEO von Azul, wird in der Mitteilung mit den Worten zitiert, dass Unternehmen angesichts der durch KI zunehmenden Bedrohungslage nicht zwischen Sicherheit und Stabilität wählen müssen sollten. Monatliche, rein sicherheitsbezogene Updates seien der neue Standard, den Azul für den Schutz von Java-Umgebungen in Unternehmen setze.
Für Unternehmen mit produktiven Java-Umgebungen bedeutet die Umstellung in erster Linie eine engere Taktung bei der Patch-Planung: Statt vierteljährlicher Wartungsfenster müssen IT-Teams künftig monatlich prüfen, ob ein CSPU vorliegt und eingespielt werden muss. Da die Updates laut Azul ausschließlich sicherheitsrelevante Änderungen enthalten und auf derselben stabilisierten Codebasis wie die bisherigen CPUs aufsetzen, soll sich der zusätzliche Testaufwand in Grenzen halten. Ob sich der monatliche Rhythmus in der Praxis bewährt, dürfte sich vor allem daran zeigen, wie zuverlässig Azul den angekündigten Veröffentlichungstermin über einen längeren Zeitraum einhält.
Nach eigenen Angaben unterstützt Azul geschäftskritische Systeme bei 36 Prozent der Fortune-100-Unternehmen sowie bei der Hälfte der nach Markenwert zehn größten Forbes-Marken und bei zehn international führenden Finanzhandelsunternehmen. Weitere Informationen zum Java-Support von Azul sowie zum neuen Patch-Zeitplan stellt das Unternehmen auf seiner Website bereit. Für IT-Teams bedeutet die Umstellung vor allem eine engere Taktung bei Patch-Planung und Testaufwand.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de