Die Security-only, Stability-first™-Updates von Azul lassen sich sofort einspielen, um der Geschwindigkeit agentischer KI-Bedrohungen zu begegnen.
Sunnyvale, Kalifornien, 20. Oktober 2026 – Azul hat seine Security-only, Stability-first™-Updates für Azul Core im Oktober veröffentlicht. Sie lassen sich sofort einspielen und beheben alle 53 Schwachstellen, die im aktuellen vierteljährlichen OpenJDK-Update offengelegt wurden. Die Updates enthalten ausschließlich Sicherheitsfixes: keine neuen Funktionen, keine Erweiterungen und keine sachfremden Änderungen, die Probleme verursachen können. Die Zahl der Schwachstellen im OpenJDK-Release dieses Quartals ist die höchste in einem einzelnen Update seit weit über zehn Jahren und siebenmal so hoch wie der Zweijahresdurchschnitt von 7,6 CVEs (Common Vulnerabilities and Exposures) pro Quartal.
Die vierteljährlichen OpenJDK-Updates, die die Fixes für diese CVEs enthalten, umfassen außerdem mehr als 150 Codeänderungen ohne Sicherheitsbezug. Azul ist nach eigenen Angaben der einzige Anbieter, der sowohl monatliche als auch vierteljährliche Updates anbietet, die ausschließlich Sicherheitsfixes enthalten. Unternehmen können die Security-only, Stability-first-Updates von Azul sofort in Produktion bringen, um kritische Schwachstellen zu beheben. Andere OpenJDK-Distributionen bündeln in ihren Updates Bugfixes ohne Sicherheitsbezug, Erweiterungen und neue Funktionen, was zu Regressionen führen kann. Solche Regressionen können die Bereitstellung dringender Sicherheitsfixes verzögern.
KI deckt Schwachstellen auf und ermöglicht Angriffe schneller denn je
CSO berichtete kürzlich, dass Forscher mithilfe eines KI-Tools in etwa zehn Minuten eine 13 Jahre alte Schwachstelle zur Remotecodeausführung in Apache ActiveMQ gefunden haben. Zwei Wochen nach der Offenlegung waren noch immer knapp 6.500 mit dem Internet verbundene Instanzen ungepatcht. In einem von GreyNoise dokumentierten Fall setzte ein mutmaßlicher Angreifer Hunderte KI-Agenten ein, um zwei Zero-Day-Schwachstellen in PaperCut NG/MF zu verketten. Er gelangte so in weniger als vier Stunden von einem leeren Arbeitsbereich zur Remotecodeausführung. Die Agenten erreichten letztlich mindestens 440 Instanzen in 395 Organisationen in 48 Ländern – mit voller Kontrolle als Domain-Administrator nach nur sieben Minuten.
Java betreibt seit mehr als 30 Jahren geschäftskritische Systeme. KI legt nun jedoch Schwachstellen offen, die jahrelange Tests und Prüfungen überstanden haben. Forscher setzen KI ein, um Schwachstellen in jahrzehntealtem Code aufzudecken. Angreifer wiederum nutzen agentische KI, um genau diese Lücken schneller und in größerem Umfang als je zuvor zu finden und auszunutzen. Da die große Mehrheit der Unternehmen für Produktivanwendungen und Infrastruktur auf Java setzt, können sich die Folgen branchenübergreifend bemerkbar machen.
- Die Einstiegshürde sinkt. KI versetzt weniger versierte Angreifer in die Lage, Aufgaben zu erledigen, für die früher Experten nötig waren.
- Angreifer sind schneller als Verteidiger. Die mittlere Zeit bis zur Ausnutzung einer Schwachstelle (Mean Time to Exploit, MTTE) ist laut Google M-Trends 2026 auf -7 Tage gesunken. Der Median des Patch-Zyklus in Unternehmen liegt laut Verizon DBIR dagegen bei 43 Tagen.
- Auch CVEs mit niedrigem Schweregrad können relevant werden. KI kann mehrere Schwachstellen zu wirksamen Angriffsketten verbinden und so zusätzliche Angriffspfade schaffen.
Patch-Zyklen von Unternehmen halten mit dem Tempo KI-gestützter Angreifer nicht Schritt
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) führt einen Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV), in dem Schwachstellen gelistet sind, deren aktive Ausnutzung bestätigt ist. Laut einer Analyse dieses Katalogs durch Azul wurden 61 Prozent der 2025 veröffentlichten Schwachstellen, die später ausgenutzt wurden, innerhalb von 30 Tagen nach ihrer öffentlichen Bekanntgabe aufgenommen. Die Analyse bezieht sich auf 126 im Jahr 2025 veröffentlichte CVEs und schließt Zero-Days aus.
Security-only, Stability-first-Updates zum sofortigen Einsatz bereit
Azul bietet vierteljährliche, monatliche und außerplanmäßige OpenJDK-Updates nach dem Security-only, Stability-first-Prinzip an. Diese enthalten ausschließlich Sicherheitsfixes, ohne neue Funktionen oder sachfremde Bugfixes. Sie bauen auf dem stabilisierten vollständigen Patch-Update des Vorquartals auf. Seit 2020 enthielten nach Angaben von Azul mehr als 20 Prozent der vierteljährlichen OpenJDK-Updates Regressionen, die eine rechtzeitige Bereitstellung verhinderten. Im selben Zeitraum habe es bei keinem der Security-only-Updates von Azul Regressionen gegeben, die den Rollout verhindert hätten.
Darüber hinaus liefert Azul monatliche Critical Security Patch Updates (CSPUs) nach dem Stability-first-Prinzip. Frühere vierteljährliche OpenJDK-Updates enthielten Regressionen, die unter anderem den Zugriff von Anwendungen auf Google-APIs beeinträchtigten, HTTP-Inhalte in Tomcat beschädigten oder Hadoop-Deployments lahmlegten.
Azul Core ist ein Java-SE-konformer Build von OpenJDK, der mit dem Technology Compatibility Kit (TCK) zertifiziert ist. Azul Core ist ein Drop-in-Replacement für Oracle Java und andere Java-SE-konforme Distributionen. Abonnenten erhalten monatliche und vierteljährliche Security-only-Updates, vierteljährliche vollständige Updates und bei Bedarf außerplanmäßige Fixes für die LTS-Versionen 8, 11, 17, 21 und 25.
Viele Unternehmen setzen außerdem noch Java 6 und 7 ein. Azul bietet hierfür rückportierte Sicherheitsfixes an, sodass auch ältere Java-Versionen in einen monatlichen Sicherheitsrhythmus einbezogen werden können.
Die Lücke zwischen Offenlegung und Bereitstellung schließen
„Die Rekordzahl an Schwachstellen in einem einzigen OpenJDK-Update ist eine sehr ernste Warnung an alle Unternehmen, die ihre geschäftskritischen Workloads auf Java betreiben. KI hat die Zeit zwischen Offenlegung und Ausnutzung von Wochen auf Tage und sogar Stunden schrumpfen lassen, und Angreifer verketten Schwachstellen, die Verteidiger bisher als niedrig priorisiert eingestuft haben“, sagt Scott Sellers, Co-Founder und CEO von Azul. „Unternehmen sollten sich nicht zwischen Sicherheit und Stabilität entscheiden müssen. Die Security-only, Stability-first-Updates von Azul lassen sich sofort einspielen, sodass Kunden das Zeitfenster der Gefährdung schließen können, bevor ihnen ein Angreifer zuvorkommt.“
Unternehmen, die Oracle Java, andere OpenJDK-Builds oder kostenlose Azul-Zulu-Builds in Produktion einsetzen und die Zeit bis zur Behebung der 53 im vierteljährlichen Update offengelegten Schwachstellen verkürzen möchten, finden weitere Informationen auf der Azul-Webseite zum Patch-Angebot.
Über Azul
Azul entwickelt eine Open-Source-basierte Java-Plattform für Unternehmen. Nach Unternehmensangaben unterstützt Azul geschäftskritische Systeme für 37 Prozent der Fortune-100-Unternehmen, 50 Prozent der Forbes-Top-10-Marken mit dem höchsten Markenwert weltweit und die zehn weltweit führenden Finanzhandelsunternehmen. Weitere Informationen unter azul.com.
Pressekontakt
PER Connect
Daniela Fichtl / Nicole Stadtmüller
Telefon: +49 89 1795918-0
E-Mail: azul@per-group.com
per-group.com
Bild: Scott Sellers, Co-Founder und CEO von Azul. Quelle: Azul
