Le 17 septembre 2026, AWS a publié Corretto 27, sa distribution OpenJDK gratuite, avec l’échange de clés hybride post-quantique pour TLS 1.3 et les en-têtes d’objets compacts activés par défaut. Testez ces gains en environnement non critique, mais gardez vos charges LTS sur Java 21 ou 25 : cette version n’est supportée que jusqu’en avril 2027.

Le 5 août 2026, les chercheurs de Huntress ont documenté une attaque où le toolkit khunt a été compilé et exécuté directement dans une base Oracle via une injection SQL sur un endpoint Apache Tomcat. Les attaquants ont utilisé la JVM embarquée d’Oracle pour exécuter des commandes OS avec les privilèges SYSTEM, voler les hashs Windows et cartographier le réseau. Le message pour les DBA est clair : votre base de données est un runtime Java — traitez-la comme tel.

CVE-2026-16723 (CVSS 9.0) permet l’exécution de code à distance sans authentification sur Fastjson 1.x, sans correctif possible. Activez SafeMode immédiatement et planifiez votre migration vers Fastjson 2.x.