CPU de octubre: tu JDK se actualiza y Oracle JDK 21 cambia de licencia

Oracle publica hoy JDK 27.0.1, 25.0.5 y 21.0.13 con los parches de seguridad de octubre. Dos cosas que no puedes pasar por alto: 21.0.13 es la primera actualización de Oracle JDK 21 bajo la licencia OTN, y 25.0.5 trae el intercambio de claves poscuántico para TLS 1.3.

Java 20 de octubre de 2026 4 min de lectura

Hoy, 20 de octubre, toca CPU. Oracle publica las actualizaciones de seguridad trimestrales de Java, y las nuevas líneas base de cada familia son JDK 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.33 y 8u511. Si mantienes un JDK en producción, esta vez hay algo más que subir el número de versión.

Lo que corrige

Según el anuncio previo de la CPU, actualizado por Oracle el 15 de octubre, esta tanda trae 55 parches de seguridad nuevos para Oracle Java SE, y 49 de ellos corrigen vulnerabilidades explotables en remoto sin autenticación. La puntuación CVSS 3.1 más alta es 7,5. Afecta a Java SE 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1 y 27, además de GraalVM for JDK 17 y 21 y de JavaFX.

Son cifras del anuncio previo, y Oracle avisa de que pueden cambiar hasta que publique el advisory definitivo. El detalle de cada CVE estará en la matriz de riesgo de Java SE de esa misma página.

Oracle JDK 21 deja la licencia NFTC

Esto es lo que más te puede doler. JDK 21.0.13 es la primera actualización de Oracle JDK 21 publicada bajo la licencia OTN (Oracle Technology Network License Agreement for Oracle Java SE), y no bajo las Oracle No-Fee Terms and Conditions (NFTC) de las anteriores. Las release notes lo dicen sin rodeos: la OTN permite sin coste usos como el personal y el de desarrollo, pero otros usos que autorizaba la NFTC pueden dejar de estar disponibles. Lo mismo pasa con las actualizaciones de JavaFX 21 publicadas después de septiembre de 2026.

Si en producción usas los binarios de Oracle JDK 21, no actualices a ciegas: lee los términos antes de desplegar 21.0.13. Y si el salto a 25 llevaba meses en la lista de pendientes, quizá sea el momento de subirlo.

Cambios que pueden romper algo

Las release notes de 27.0.1, 25.0.5 y 21.0.13 comparten varios cambios de comportamiento. Estos son los que más fácilmente vas a notar:

HttpServer valida la cabecera Host. El servidor HTTP del JDK sigue ahora la RFC 9112: una petición HTTP/1.1 sin Host, o con más de una, recibe un 400 Bad Request. Si tienes tests que lo usan con peticiones escritas a mano, revísalos. Se desactiva con -Dsun.net.httpserver.disableHostValidation=true.
TemplatesImpl ya no se deserializa. La clase interna de JAXP que implementa javax.xml.transform.Templates lanza UnsupportedOperationException si intentas deserializarla. Se reactiva con la propiedad jdk.xml.enableTemplatesImplDeserialization=true.
JNDI/LDAP deja de seguir referencias RMI. La nueva propiedad jdk.jndi.ldap.disabledURLSchemes vale rmi por defecto mientras com.sun.jndi.ldap.object.trustSerialData siga en false: recibirás un javax.naming.Reference en lugar del objeto.
WebRowSet.readXml informa de cualquier fallo de parseo o de validación del XML como SQLException.
Fuera LuxTrust Global Root CA del keystore cacerts.
Agentes remotos de JShell: cambia el protocolo de arranque y hay que actualizar los agentes existentes.

En 25.0.5 y 21.0.13, además, los certificados TLS de servidor anclados en las CA raíz de Symantec, Entrust y Camerfirma dejan de ser de confianza, sea cual sea su fecha de emisión. Los de Chunghwa lo harán del todo el 19 de abril de 2027.

Un regalo para quien está en 25

JDK 25.0.5 incorpora el intercambio de claves híbrido poscuántico para TLS 1.3, el mismo que entró en JDK 27 con el JEP 527. Añade tres grupos, X25519MLKEM768, SecP256r1MLKEM768 y SecP384r1MLKEM1024, y deja X25519MLKEM768 activado por defecto como grupo preferido. No hay que tocar código ni configuración: si los dos extremos lo soportan, se negocia solo.

Para comprobarlo, arranca con la depuración de JSSE y busca el key_share del ServerHello:

bash

java -Djavax.net.debug=ssl:handshake -jar app.jar

text

"key_share (51)": {
  "server_share": {
    "named group": x25519mlkem768
  }
}

El JEP 527 lo justifica con el ataque de «guardar ahora y descifrar después»: alguien graba hoy tu tráfico cifrado y espera a tener un ordenador cuántico. La conexión híbrida sigue siendo segura mientras uno de los dos algoritmos aguante.

Apunta la siguiente fecha

Las release notes ya no recomiendan usar estas versiones después del 17 de noviembre de 2026, la próxima actualización de seguridad de Java. Es el nuevo ritmo mensual que contamos en Java ya no se parchea solo cada trimestre: tienes cuatro semanas.

En NextPatch

Si sigues en 21 y el cambio de licencia te empuja a moverte, la ruta Java 21 → 25 cubre el salto entre las dos LTS.