Sicherheitslücken
OpenJDK unter Druck: 53 neue Sicherheitslücken markieren historischen Höchststand
Die Security-only, Stability-first™-Updates von Azul lassen sich sofort einspielen
Azul, der vertrauenswürdige Marktführer für Enterprise Java in der heutigen KI-first-Welt, hat seine Security-only, Stability-first™-Updates für Azul Core im Oktober veröffentlicht. Sie lassen sich sofort einspielen und beheben alle 53 Schwachstellen, die im aktuellen vierteljährlichen OpenJDK-Update offengelegt wurden. Die Security-only, Stability-first-Updates von Azul enthalten ausschliesslich Sicherheitsfixes: keine neuen Funktionen, keine Erweiterungen und keine sachfremden Änderungen, die Probleme verursachen können. Die Zahl der Schwachstellen im OpenJDK-Release dieses Quartals ist die höchste in einem einzelnen Update seit weit über zehn Jahren und siebenmal so hoch wie der Zweijahresdurchschnitt von 7,6 CVEs (Common Vulnerabilities and Exposures) pro Quartal.
Die vierteljährlichen OpenJDK-Updates, die die Fixes für diese CVEs enthalten, umfassen ausserdem mehr als 150 Codeänderungen ohne Sicherheitsbezug. Azul ist der einzige Anbieter, der sowohl monatliche als auch vierteljährliche Updates anbietet, die ausschließlich Sicherheitsfixes enthalten. Unternehmen können die Security-only, Stability-first-Updates von Azul sofort und sicher in Produktion bringen, um kritische Schwachstellen zu beheben. Andere OpenJDK-Distributionen bündeln in ihren Updates Bugfixes ohne Sicherheitsbezug, Erweiterungen und sogar neue Funktionen, was häufig zu Regressionen führt. Solche Regressionen werden zwar mit Folgeupdates behoben, verzögern die Bereitstellung dringender Sicherheitsfixes aber unter Umständen erheblich.
KI deckt Schwachstellen auf und ermöglicht Angriffe schneller denn je
CSO berichtete kürzlich, dass Forscher mithilfe eines KI-Tools in etwa zehn Minuten eine 13 Jahre alte Schwachstelle zur Remotecodeausführung (Remote Code Execution) in Apache ActiveMQ gefunden haben. Zwei Wochen nach der Offenlegung waren noch immer knapp 6.500 mit dem Internet verbundene Instanzen ungepatcht. In einem von GreyNoise dokumentierten Fall setzte ein mutmasslicher Angreifer Hunderte KI-Agenten ein, um zwei Zero-Day-Schwachstellen in PaperCut NG/MF zu verketten. Er gelangte so in weniger als vier Stunden von einem leeren Arbeitsbereich zur Remotecodeausführung. Die Agenten erreichten letztlich mindestens 440 Instanzen in 395 Organisationen in 48 Ländern – mit voller Kontrolle als Domain-Administrator nach nur sieben Minuten.
Java betreibt seit mehr als 30 Jahren geschäftskritische Systeme und gilt damit als eine der am besten erprobten Plattformen im Unternehmensumfeld. Doch KI legt nun Schwachstellen offen, die jahrelange Tests und Prüfungen überstanden haben. Forscher setzen KI ein, um Schwachstellen in jahrzehntealtem Code aufzudecken. Angreifer wiederum nutzen agentische KI, um genau diese Lücken schneller und in grösserem Umfang als je zuvor zu finden und auszunutzen. Da die grosse Mehrheit der Unternehmen für Produktivanwendungen und Infrastruktur auf Java setzt, werden sich die Folgen in jeder Branche und jeder Region bemerkbar machen.
Das Risiko ist unmittelbar, aus drei Gründen:
- Die Einstiegshürde sinkt. KI versetzt weniger versierte Angreifer in die Lage, Aufgaben zu erledigen, für die früher Experten nötig waren.
- Angreifer sind schneller als Verteidiger. Die mittlere Zeit bis zur Ausnutzung einer Schwachstelle (Mean Time to Exploit, MTTE) ist auf -7 Tage gesunken. Das bedeutet: Angriffe beginnen oft, bevor überhaupt ein Patch verfügbar ist. Der Median des Patch-Zyklus in Unternehmen liegt dagegen bei 43 Tagen.
- Es ist nicht mehr sicher, die Behebung von CVEs mit niedrigem Schweregrad aufzuschieben. KI kann selbst CVEs mit niedrigem Schweregrad zu wirksamen und gravierenden Angriffen verketten und vervielfacht so die Zahl ausnutzbarer Angriffspfade.
Patch-Zyklen von Unternehmen halten mit dem Tempo KI-gestützter Angreifer nicht Schritt
Früher mag es vertretbar gewesen sein, Wochen oder Monate auf stabile, regressionsfreie Sicherheitsupdates zu warten, bevor bekannte Schwachstellen behoben wurden – diese Zeiten sind vorbei. Angreifer agieren schneller. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) führt einen Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV), in dem Schwachstellen gelistet sind, deren aktive Ausnutzung bestätigt ist. Laut einer Analyse dieses Katalogs durch Azul wurden 61 Prozent der 2025 veröffentlichten Schwachstellen, die später ausgenutzt wurden, innerhalb von 30 Tagen nach ihrer öffentlichen Bekanntgabe aufgenommen. Der tatsächliche Anteil dürfte höher liegen: Die Zahl berücksichtigt nicht das knappe Viertel der ausgenutzten Schwachstellen, die bereits am Tag der Offenlegung oder davor gelistet waren, und die CISA nimmt eine Schwachstelle in der Regel erst auf, nachdem die Ausnutzung begonnen hat. Bei den meisten ausgenutzten Schwachstellen wird die Zeitspanne zwischen Offenlegung und Angriff heute in Tagen gemessen, nicht in Wochen oder Monaten.
Security-only, Stability-first-Updates zum sofortigen Einsatz bereit
Azul ist der einzige Anbieter, der vierteljährliche, monatliche und ausserplanmässige (Out-of-Cycle) OpenJDK-Updates nach dem Security-only, Stability-first-Prinzip bereitstellt. Diese enthalten ausschliesslich Sicherheitsfixes, ohne neue Funktionen oder sachfremde Bugfixes. Sie bauen auf dem stabilisierten vollständigen Patch-Update des Vorquartals auf, das Azul und die breitere Java-Community bereits umfassend getestet haben. Da sich die Änderungen auf Sicherheitsfixes beschränken, sinkt die potenzielle Angriffsfläche für Regressionen drastisch. Seit 2020 enthielten mehr als 20 Prozent der vierteljährlichen OpenJDK-Updates Regressionen, die eine rechtzeitige Bereitstellung verhinderten. Im selben Zeitraum gab es bei keinem der Security-only-Updates von Azul Regressionen, die den Rollout verhindert hätten, und Azul-Kunden konnten sie schnell und direkt in Produktion bringen. Darüber hinaus liefert Azul monatliche Critical Security Patch Updates (CSPUs) nach dem „Stability-first“-Prinzip, die auf dem bestehenden vierteljährlichen Security-only-Update aufsetzen – eine Möglichkeit, die kein anderer Java-Anbieter und keine andere OpenJDK-Distribution bietet.
Frühere vierteljährliche OpenJDK-Updates enthielten Regressionen von erheblichem Ausmass: Sie unterbrachen den Zugriff von Anwendungen auf alle Google-APIs, beschädigten HTTP-Inhalte in Tomcat und legten Hadoop-Deployments lahm. Unternehmen, die auf andere OpenJDK-Distributionen setzten, mussten sich entscheiden: Entweder nahmen sie Beeinträchtigungen für ihre Kunden in Kauf, oder sie verzichteten auf die Sicherheit. Azul-Kunden, die das Security-only-Update von Azul Core einspielten, mussten das nicht. Sie konnten es sofort, stabil und sicher bereitstellen.
Azul Core ist ein Java-SE-konformer Build von OpenJDK, der mit dem Technology Compatibility Kit (TCK) zertifiziert ist. Azul Core ist ein Drop-in-Replacement für Oracle Java und andere Java-SE-konforme Distributionen. Abonnenten von Azul Core erhalten monatliche und vierteljährliche Security-only-Updates, vierteljährliche vollständige Updates und bei Bedarf ausserplanmässige Fixes für jede LTS-Version (8, 11, 17, 21, 25).
Viele Unternehmen setzen ausserdem noch Java 6 und 7 ein, was im Zeitalter KI-gestützter Angriffe ein Risiko darstellt. Azul ist der einzige Anbieter, der rückportierte Sicherheitsfixes (Backports) für diese Versionen bereitstellt. So gilt derselbe monatliche Sicherheitsrhythmus auch für Unternehmen, die noch ältere Java-Versionen im Produktivbetrieb einsetzen.
Azul-Partner können Kunden helfen, das Zeitfenster der Gefährdung zu schliessen
Die Reseller und Security-Services-Delivery-Partner von Azul können ihren Kunden helfen, die schnell wachsende Zahl von Bedrohungen zu bewältigen und zu beheben, indem sie das Oktober-Update jetzt an sicherheitsbewusste Kunden ausliefern. Weiterverkauf und Services für die Security-only, Stability-first-Updates sind in der aktuellen Channel-Preisgestaltung für Azul Core enthalten.
Die Lücke zwischen Offenlegung und Bereitstellung schliessen
„Die Rekordzahl an Schwachstellen in einem einzigen OpenJDK-Update ist eine sehr ernste Warnung an alle Unternehmen, die ihre geschäftskritischen Workloads auf Java betreiben. KI hat die Zeit zwischen Offenlegung und Ausnutzung von Wochen auf Tage und sogar Stunden schrumpfen lassen, und Angreifer verketten Schwachstellen, die Verteidiger bisher als niedrig priorisiert eingestuft haben“, sagt Scott Sellers, Co-Founder und CEO von Azul . „Unternehmen sollten sich nicht zwischen Sicherheit und Stabilität entscheiden müssen. Die Security-only, Stability-first-Updates von Azul lassen sich sofort einspielen, sodass Kunden das Zeitfenster der Gefährdung schliessen können, bevor ihnen ein Angreifer zuvorkommt.“
Unternehmen, die Oracle Java, andere OpenJDK-Builds oder kostenlose Azul-Zulu-Builds in Produktion einsetzen oder die Zeit bis zur Behebung der 53 im heutigen vierteljährlichen Update offengelegten Schwachstellen verkürzen möchten, können mit Azul gepatcht werden .
