Spring publica sus parches un solo día al mes: llega el «Patch Thursday»
Desde el 22 de octubre de 2026, todo el portfolio de Spring saca sus versiones de parche el mismo día, el jueves siguiente al tercer lunes de cada mes. El motivo es el aluvión de avisos de seguridad.
Spring cambia cómo publica: todo el portfolio sacará sus versiones de parche el mismo día, el jueves siguiente al tercer lunes de cada mes. Hasta ahora el «tren» de versiones se repartía a lo largo de dos semanas. El equipo lo ha comprimido a un único día y lo anunció en su blog el 21 de septiembre de 2026.
Si mantienes aplicaciones con Spring Boot, esto te da una fecha fija en el calendario para actualizar.
Las fechas
- 24 de septiembre de 2026: un tren solo de milestones.
- 22 de octubre de 2026: primeras versiones de parche con el formato nuevo.
- Después, cada mes, el jueves siguiente al tercer lunes. Si haces la cuenta, en noviembre cae el día 19.
Por qué: seguridad
El equipo lo cuenta con números. Desde marzo reciben de media casi 80 informes de seguridad nuevos al mes enviados por la comunidad, a lo que suman su propio escaneo interno con modelos de frontera. Y hablan de haber corregido más de 160 CVE nuevos.
Con ese volumen, se entiende que repartir las publicaciones a lo largo de dos semanas ya no les sirva. Un solo día significa que un arreglo que afecta a Spring Framework, Spring Security y Spring Boot sale coordinado, y no a trozos.
Una página de avisos que se puede filtrar
El otro cambio es la web de avisos, spring.io/security. Antes los avisos se publicaban como entradas de blog en orden cronológico; ahora se filtran por CVE, por severidad y por proyecto. La frase del anuncio lo explica bien: «when you go from having to publish one or two security advisories to 91 in a single month, how you do so needs to change». Pasaron de uno o dos avisos a 91 en un solo mes.
Qué te conviene hacer
- Reserva un hueco fijo la semana del Patch Thursday para subir de versión. Mejor unos días después que un mes más tarde.
- Filtra la página de avisos por los proyectos que usas de verdad, en vez de leerla entera.
- Si usas Dependabot o Renovate, agrupa las actualizaciones de Spring en un único pull request: al salir todo el mismo día, llegan juntas.
NextPatch corre sobre Spring Boot 4, así que nosotros también nos hemos apuntado la fecha.