Java ya no se parchea solo cada trimestre: llegan las actualizaciones mensuales
Oracle publicó el 18 de agosto su primera actualización mensual de seguridad para Java y ya tiene otra fijada para el 17 de noviembre, entre la CPU del 20 de octubre y la de enero. Si despliegas un JDK, toca revisar el calendario.
Las actualizaciones de seguridad de Java ya no llegan solo cuatro veces al año. Oracle ha empezado a publicar parches mensuales, los Critical Security Patch Updates (CSPU), que se suman a las CPU de siempre de enero, abril, julio y octubre. El primero salió el 18 de agosto de 2026 y el siguiente para Java está previsto el 17 de noviembre.
Si en tu equipo la regla era «parcheamos el JDK cada trimestre», esa cuenta ya no sale.
Las fechas que te interesan
- 20 de octubre de 2026: CPU de octubre, la trimestral de siempre.
- 17 de noviembre de 2026: CSPU de Java, la segunda mensual.
- 19 de enero de 2027: siguiente CPU.
- 2027: Oracle planea «múltiples actualizaciones mensuales» durante el año, sin concretar todavía cuántas.
Todas siguen la regla de las CPU: el tercer martes del mes. El calendario general de seguridad de Oracle ya muestra más CSPU (15 de diciembre de 2026, 16 de febrero y 16 de marzo de 2027), pero ese calendario cubre todos los productos de Oracle. Para Java, el anuncio solo confirma la de noviembre, así que no des por hecho que cada fecha trae parche del JDK.
Por qué ahora
Oracle lo atribuye a la IA: según su anuncio, la última generación está cambiando cómo se encuentran y se corrigen las vulnerabilidades, y está aumentando la velocidad y la escala de ambas cosas. Si los fallos se descubren más rápido, esperar tres meses para publicar el arreglo deja de tener sentido.
Es el mismo motivo que ha llevado a Spring a concentrar sus parches en un único día al mes, el «Patch Thursday». La semana del 19 de octubre lo vas a notar: CPU de Java el martes 20 y primer Patch Thursday de Spring el jueves 22.
Qué cambia para ti
Oracle lo dice sin rodeos: parches más frecuentes significan actualizar tus instalaciones de Java más a menudo. Y si distribuyes un JDK o un JRE junto con tu aplicación, pide revisar los procesos de build, pruebas, publicación y despliegue.
En la práctica:
- Automatiza el salto de actualización del JDK. Si pasar de una actualización a la siguiente exige tocar a mano una imagen base y varios pipelines, con un ritmo mensual se te va a acumular.
- Mide cuánto tarda tu ciclo completo, desde que sale el parche hasta que está en producción. Si hoy son seis semanas, con parches mensuales vas a ir siempre por detrás.
- Apunta el 20 de octubre y el 17 de noviembre en el calendario del equipo, y deja hueco para probar.
El anuncio de Oracle no detalla qué versiones de Java recibirán cada CSPU ni cómo se numerarán. Cuando salga la de noviembre, lee las release notes antes de dar nada por supuesto.