Srovnání Java distribucí podle zabezpečení a rychlosti záplat

Jak jsme hodnotili

Každé řešení jsme obodovali na stupnici 0–5 v osmi kritériích. Váhy odrážejí, co nejvíc ovlivňuje bezpečnost provozu, a nestojí na jediné události:

• Běžné bezpečnostní opravy (20 %). Za kolik dní od kvartálního CPU vyjde veřejný build, jak konzistentně (leden 2025 až říjen 2026, hlavně Java 21) a jestli vycházejí všechny podporované LTS verze najednou.
• Mimořádné opravy (15 %). Reakce mimo kvartální plán. Sledovali jsme dvě letošní události: první CSPU (18. 8. 2026) a dvě mimořádná advisory ke kompromitaci certifikační autority eMudhra (21. a 24. 10. 2026). Hodnotíme rychlost, šíři pokrytých verzí a komunikaci.
• Délka podpory a starší verze (15 %). Jak dlouho dostávají opravy Java 8, 11, 17, 21 a 25 a jestli existují opravy i pro Javu 6 a 7.
• Smluvní odpovědnost (15 %). Jestli existuje placená podpora, jestli jsou veřejně uvedené lhůty a kdo za opravu ručí. Nejvíc bodů dostává veřejně uvedený závazek (zásady podpory s lhůtami reakce nebo lhůta pro vydání opravy), placená podpora bez veřejných lhůt méně a bezplatné buildy bez smlouvy nejméně.
• Transparentnost (10 %). Datované release notes, mapování CVE na verze a aktivní informování o incidentech.
• Obsah aktualizací a riziko regresí (10 %). Jestli si můžete vybrat čistě bezpečnostní build a jestli bezpečnostní aktualizace nepřinášejí nečekané funkční změny.
• Dodavatelský řetězec a certifikace (10 %). Podpisy a kontrolní součty, SBOM, reprodukovatelné buildy, certifikace TCK.
• Platformy a nástroje (5 %). Šíře podporovaných operačních systémů a architektur, nástroje pro inventuru a správu flotily JVM.

Kde jsou data smíšená (například rychlá oprava pro novější verze, ale pomalá pro Javu 8), používáme půlbody. Kde data chybí, hodnotíme konzervativně a nic nedopočítáváme. Vycházíme ze dvou samostatně zpracovaných rešerší veřejných zdrojů a sporné údaje jsme dohledali v primárních zdrojích. Hodnocení odpovídá stavu k 6. 11. 2026.

Než se pustíte do žebříčku, vezměte v úvahu tři omezení:

• Nestejné množství dat. Rychlost kvartálních oprav máme doloženou za 7–8 čtvrtletí jen u Corretta a Temurinu, u Oraclu za 3, u ostatních za 1–2 a u IBM ani jedno s přesným dnem. Rozdíly menší než zhruba 0,3 bodu proto berte jako remízu.
• Dostupnost není nasazení. Měříme, kdy byla oprava k dispozici u dodavatele, ne kdy ji firmy skutečně nasadily.
• Cena ani výkon se nehodnotí. Žebříček je čistě bezpečnostní. Cenu si můžete do srovnání přidat v tabulce na konci článku.

Dva zátěžové testy roku 2026

Kvartální aktualizace jsou předvídatelné, takže u nich mezi dodavateli nebývají velké rozdíly. Ty se ukážou, když je potřeba vydat opravu mimo plán. Proto jsme pro kritérium mimořádných oprav sledovali dvě letošní události.

První CSPU (18. 8. 2026). Oracle vydal první CSPU, tedy první plánovanou bezpečnostní aktualizaci mezi kvartálními termíny (v OpenJDK 4 CVE s nejvyšším CVSS 7,5, v Oracle JDK 5 CVE). Oracle a Amazon Corretto měli buildy v den advisory, Temurin a Red Hat o den později, Microsoft po šesti dnech. U SapMachine a Liberica známe jen datum pro Javu 26 (o den později), Azul podle vlastního vyjádření vydal v termínu.

Kompromitace certifikační autority eMudhra (říjen 2026). 17. 10. bylo provozovatelům důvěryhodných úložišť nahlášeno, že soukromé klíče osmi zprostředkujících certifikačních autorit indické společnosti eMudhra lze spočítat z veřejných certifikátů. Prohlížeče je zablokovaly během hodin, veřejně byl incident oznámen 20. 10. Samostatně instalovaná Java (archivy, instalátory, kontejnery) ale používá vlastní úložiště důvěryhodných certifikátů (cacerts) a ve výchozím stavu nekontroluje jejich odvolání, takže ji aktualizace prohlížeče ani operačního systému neochránila. Výjimkou jsou balíčky OpenJDK v linuxových distribucích, které čtou systémové úložiště. 21. 10. vyšla mimořádná oprava CVE-2026-91403 (CVSS 9,1), která zablokovala 16 certifikátů (8 zprostředkujících CA a 8 křížových podpisů Sectigo) podle otisků. Ještě týž den Sonatype zveřejnil, jak blokaci obejít, a 24. 10. následovala druhá oprava CVE-2026-114820. Ta z úložiště odstranila dotčené kořenové certifikáty, mezi nimi i rozšířený kořen Sectigo „AAA Certificate Services“, což může mít dopad na kompatibilitu se staršími řetězci. Kdo nasadil první opravu, musel nasazovat znovu. K 5. 11. nebyla ani jedna z CVE v katalogu aktivně zneužívaných zranitelností CISA KEV.

eMudhra je dobrou ilustrací, protože ukazuje rozdíly v praxi, a ne v prezentacích. V hodnocení ale tvoří jen část jednoho kritéria s váhou 15 %.

12. místo: Microsoft Build of OpenJDK

Microsoft vydává vlastní build OpenJDK pro Javu 11, 17, 21 a 25 a sám ho používá v řadě služeb Azure. Je certifikovaný (TCK/JCK), testovaný sadou AQAvit a dostupný pro Linux, macOS i Windows včetně procesorů ARM. V celkovém hodnocení ale vychází nejslabší.

Blog Microsoftu k červencové aktualizaci vyšel tři až čtyři dny po CPU (podle časového pásma), srpnové CSPU vyšlo po šesti dnech. V říjnu Microsoft vyčkal na opakovaná sestavení (respiny), takže finální verze s opravami eMudhra vyšla podle odhadu z git tagů (endoflife.date) kolem 27. 10. a Java 11 až 4. 11. Release notes přitom data vydání vůbec neuvádějí. Srpnové CSPU pro Javu 25 (verze 25.0.4.1) navíc obsahovalo změnu chování specifickou pro build Microsoftu: garbage collector G1 vrací nevyužitou paměť systému a tato volba je ve výchozím stavu zapnutá. Bezpečnostní aktualizace tak nesla i změnu, kterou je vhodné otestovat.

11. místo: IBM Semeru Runtimes

Semeru je postavený na JVM Eclipse OpenJ9, ne na HotSpotu, takže se ho některé zranitelnosti specifické pro HotSpot vůbec netýkají. IBM vede přehlednou stránku, která mapuje bezpečnostní advisory na konkrétní verze Semeru, a na GitHubu reaguje rychle.

Slabinou je rychlost a čitelnost vydání. Release notes uvádějí jen měsíc („October 2026“), ne den, a zaostávají za skutečností. U eMudhra reagoval IBM na GitHubu 22. 10. a 23. 10. vydal upozornění s ručním postupem (odstranění kořenového certifikátu nástrojem keytool), které 29. 10. nahradil bezpečnostní bulletin. Opravené buildy pro Javu 17 a novější vyšly v říjnu, pro Javu 8 a 11 až 4. 11., tedy 14 dní po první advisory. Podpora Javy 8 v Semeru trvá do konce roku 2030, Javy 11 a 17 do října 2027.

10. místo: SapMachine

SapMachine je build OpenJDK, který SAP vyvíjí hlavně pro vlastní produkty, ale volně ho může použít kdokoli. Vydání probíhá otevřeně na GitHubu a je rychlé: říjnová verze 25.0.5 vyšla v den CPU, srpnové CSPU pro Javu 26 podle endoflife.date o den později a obě opravy eMudhra do dvou dnů (23. a 26. 10.).

Hlavní slabinou je krátká podpora. Oficiálně podporované jsou dnes jen Java 21, 25 a 27. Java 11 skončila v prosinci 2024, Java 17 v září 2026 (opravné buildy 17.0.21 přesto vyšly) a Javu 8 SapMachine nenabízí vůbec. Release notes incident eMudhra nezmiňují, vazbu dokládá jen číslování verzí. Měřená data o rychlosti máme jen z jednoho čtvrtletí.

9. místo: Eclipse Temurin (Adoptium)

Temurin patří k nejrozšířenějším komunitním buildům OpenJDK a v jedné disciplíně nemá konkurenci. IBM v září 2026 nezávisle ověřilo reprodukovatelnost buildů Temurin 21 a 25 (Windows x64 a Linux x64) a publikovalo k nim podepsané atestace CycloneDX. Z pohledu ochrany dodavatelského řetězce je to nejsilnější doložitelná pozice ze všech dvanácti. Kvartální aktualizace Javy 21 vycházejí s mediánem dvou dnů (8 čtvrtletí).

Slabinou je závislost na upstreamových tazích OpenJDK. V říjnu 2026 vyšla Java 8 a 11 až 4. 11., tedy 15 dní po CPU, a v dubnu se zdržely buildy Javy 8 pro Windows. U eMudhra pomohlo, že Temurin přebírá certifikáty od Mozilly: buildy 17, 21 a 25 z 22. 10. podle Adoptium neobsahovaly kořeny, které Mozilla odebrala. Kořen emSign Root CA – G1 Temurin záměrně ponechal, protože mu Mozilla dál důvěřuje, takže kontrolní nástroje ho mohou hlásit jako problém. Potvrzení přišlo až 27. 10. a nezávislý test z 26. 10. hlásil u jednoho buildu opak. Oznámení na webu bývají o jeden až čtyři týdny pozadu za binárkami. Se stejným skóre jako bezplatná Liberica skončil Temurin devátý, protože při shodě rozhodla rychlost běžných oprav.

8. místo: BellSoft Liberica (bezplatná)

Bezplatná Liberica vychází ze stejných vydání jako placená. Říjnová aktualizace vyšla den po CPU a u eMudhra dostala stejné opravné buildy: první opravu 23. 10. (+2 dny), druhou podle dokumentace BellSoftu 24. 10., na GitHubu se objevila 26.–27. 10. BellSoft navíc hned 21. 10. zveřejnil podrobný návod, jak trust store opravit ručně.

Slabým místem byly kontejnerové image. Podle hlášení na GitHubu (22. 10.) ještě důvěřovaly kompromitovaným řetězcům image „slim“ s Javou 25 a podle blogu samotného BellSoftu 21. 10. i image „hardened“. Bezplatné veřejné aktualizace Javy 8 podle endoflife.date končí 30. 11. 2026.

7. místo: Red Hat: OpenJDK v RHEL a Red Hat build of OpenJDK

Red Hat má v tomto srovnání nejtransparentnější veřejnou komunikaci: bezpečnostní bulletin, technickou analýzu v Bugzille a zdůvodněná rozhodnutí. Balíčky OpenJDK v RHEL navíc přebírají důvěryhodné certifikáty ze systémového balíčku ca-certificates. U eMudhra proto stačila jeho aktualizace (první errata 22. 10.) a RPM s Javou Red Hat kvůli žádné z obou CVE záměrně neaktualizoval. U srpnového CSPU byl Red Hat rychlý (+1 den).

Pomalejší jsou samotné buildy Javy. Errata java-21-openjdk za říjnové CPU, která jsme dohledali, vyšla 29. 10., tedy devět dní po CPU, a samostatné (portable) buildy pro eMudhra 27.–29. 10. Podpora je naopak dlouhá: plná podpora Javy 17 trvá do konce roku 2027 a za příplatek nabízí Red Hat prodlouženou podporu (ELS) pro Javu 8 do 12/2032, Javu 11 do 1/2032 a Javu 17 do 1/2029. Plná podpora Javy 8 ale končí už 30. 11. 2026. Veřejnou lhůtu pro vydání opravy jsme u Red Hatu nedohledali. Se stejným skóre jako Oracle JDK pod NFTC skončil Red Hat sedmý, protože při shodě rozhodla rychlost mimořádných oprav.

6. místo: Oracle JDK zdarma (licence NFTC)

Oracle od Javy 17 umožňuje používat Oracle JDK zdarma i v produkci pod licencí NFTC, ale jen pro aktuální verze: LTS verzi do roku po vydání další LTS a ne-LTS verzi do vydání následující verze. Dostanete přesně stejné buildy jako platící zákazníci, ve stejný den, včetně CSPU a mimořádných Security Alertů. Rychlostí jde o absolutní špičku.

Háček je v délce. Dnes to platí pro Javu 25 (podle FAQ Oraclu do září 2028) a pro aktuální ne-LTS Javu 27. Aktualizace Javy 21 už od říjnového CPU 2026 spadají pod licenci OTN, která produkční použití bez předplatného nepovoluje. Automatické stažení verze 21.0.13 a novější tak může znamenat licenční problém.

5. místo: Azul Zulu (bezplatné buildy)

Bezplatné buildy Zulu jsou stejné certifikované binárky OpenJDK jako v placené Azul Platform Core, jen bez podpory a bez některých typů aktualizací. Při eMudhra dostaly opravené buildy pro Javu 8 až 27 ve stejný den jako platící zákazníci, 21. i 24. 10., a to včetně veřejně popsaného postupu opravy s kontrolními součty.

Bezplatná větev ale dostává jen plné aktualizace (PSU). Čistě bezpečnostní CPU buildy jsou vyhrazené předplatitelům, stejně jako Java 6 a 7. Srpnové CSPU podle Azulu dostali i uživatelé bezplatných buildů, ale jen ve větvi PSU. Bezplatné aktualizace Zulu 8 podle sekundárního zdroje (Wikipedie) končí v listopadu 2026 a Azul je smluvně nezaručuje.

4. místo: Amazon Corretto

Corretto patří v kvartálních aktualizacích k nejrychlejším bezplatným buildům. U Javy 21 má podle dat v changelogu medián 0 dní za sedm čtvrtletí, srpnové CSPU vyšlo v den advisory a v říjnu vydal Javu 8 a 11 už 23. 10., spolu s Javou 21, tedy o 12 dní dřív než Temurin. Právě u těchto verzí přitom jiné bezplatné distribuce čekaly na upstream. Dlouhá bezplatná podpora (Java 8 do 12/2030, Java 11 do 1/2032) z něj dělá nejlepší bezplatnou volbu pro starší aplikace.

Slabší je komunikace. Changelog uvádí čísla obou CVE, ale incident nevysvětluje, oprava se v Amazon Linuxu objevila 24. 10. a bezpečnostní bulletin AWS vyšel večer 24. 10. (25. 10. UTC). Datum v changelogu se u říjnových buildů liší od data zveřejnění na GitHubu (20. vs. 23. 10.), takže i medián stojí na datech, která nemusí odpovídat skutečné publikaci. Corretto má jeden kumulativní proud aktualizací s vlastními úpravami Amazonu, bez možnosti volby čistě bezpečnostního buildu.

3. místo: BellSoft Liberica (placená podpora)

Placená Liberica nabízí oddělené aktualizace CPU (jen bezpečnostní opravy) a PSU (plné), přičemž dostupnost CPU buildů zdarma jsme neověřili. K tomu dlouhou komerční podporu, podle roadmapy BellSoftu Java 6 a 7 do 3/2028, Java 8 do 3/2031, Java 11 do 3/2032 a Java 25 do 3/2034. Rychlostí kvartálních buildů je Liberica blízko špičky (+1 den v říjnu).

U eMudhra byla o dva až tři dny pomalejší než Oracle a Azul, Java 8 vyšla v několika opravných buildech do 27. 10. a pozadu byly kontejnerové image. BellSoft o sobě píše, že je jednou ze tří firem „včetně Oraclu“, které vydávají CPU buildy, třetí firmu ale nejmenuje. Podobný nárok si činí Azul, u Oraclu jsou aktualizace Javy 11 a novější kumulativní.

2. místo: Oracle Java SE (Universal Subscription)

O první místo se Oracle s Azulem prakticky dělí: rozdíl 0,15 bodu je pod hranicí přesnosti dat a v pohledu pro cloud-native týmy v tabulce níže vychází Oracle jako první. Oracle je zdrojem většiny oprav a v kvartální kadenci patří spolu s Correttem k doložitelně nejrychlejším. Release notes Javy 21 uvádějí aktualizace přesně v den CPU v dubnu, červenci i říjnu 2026. Mimořádné opravy (srpnové CSPU i oba Security Alerty k eMudhra) vydal v den advisory pro všechny podporované verze, včetně Javy 8 a 11. Nabízí dlouhou podporu LTS verzí (Java 8 do 12/2030, Java 11 do 1/2032, Java 25 do 9/2033) a službu Java Management Service pro správu flotily JVM.

Jen u Oraclu jsme ověřili veřejně dostupný smluvní dokument zásad podpory. U požadavků nejvyšší závažnosti (Severity 1) slibuje nepřetržitou práci až do vyřešení a reakci do hodiny, formulovanou jako přiměřené úsilí. Lhůtu na vydání samotné opravy nestanovuje. Slabiny: aktualizace Javy 11 a novější jsou kumulativní, bez čistě bezpečnostní varianty, Java 6 a 7 od roku 2022 nedostávají nové opravy a část ID oprav u eMudhra nebyla veřejná. Mimo bezpečnostní hodnocení je pro mnoho firem zásadní licencování podle celkového počtu zaměstnanců.

1. místo: Azul Platform Core

Azul vychází ve výchozím pohledu nejvýše, ale jen o 0,15 bodu před Oraclem. Takový rozdíl je pod hranicí přesnosti dat, prakticky jde tedy o dělené první místo. U eMudhra vydal Azul opravy 21. i 24. 10. ve stejný den jako Oracle, současně i pro bezplatné buildy Zulu. V první vlně opravil i Javu 6 a 7 (placené buildy), u druhé jsme jejich pokrytí neověřili. Zveřejnil také ruční postup opravy se skripty a kontrolními součty SHA-256, stránka s ním ale dnes sama upozorňuje, že problém už plně neřeší. Kvartální rychlost máme doloženou jen za říjen 2026 (z release notes Azul Prime) a včasné vydání srpnového CSPU jen z vyjádření Azulu. Zákazník si volí mezi čistě bezpečnostním CPU buildem postaveným na předchozím čtvrtletí a plnou aktualizací PSU.

Jako jediný dodavatel, u kterého jsme to dohledali, uvádí na produktové stránce lhůtu pro vydání kvartální bezpečnostní aktualizace (CPU): nejvýše 15 dní v úrovni Standard a 48 hodin v úrovni Premium (cílem je stejný den jako Oracle). Lhůta se podle stránky týká kvartálních CPU, ne mimořádných oprav, a smluvní text jsme neviděli. Premium zahrnuje nonstop podporu s první reakcí do hodiny. Javu 6 a 7 pokrývá za příplatek Legacy Production Support. Výkonnostní varianta Azul Prime má podle veřejných údajů užší pokrytí (Java 8 až 25) a opravu z 24. 10. u ní známe jen z vyjádření Azulu, hodnocení proto platí pro Core.

Slabiny: méně doložených čtvrtletí než u Oraclu či Corretta, SLA jen z produktové stránky a marketingová tvrzení, která jsou někdy sporná nebo je nelze ověřit.

Mimo pořadí: balíčky linuxových distribucí a buildy z jdk.java.net

Dvě často používané možnosti jsme do žebříčku nezařadili, protože se nedají hodnotit stejným metrem:

• OpenJDK z Debianu a Ubuntu. Zdarma a s opravou trust storu přes systémový balíček ca-certificates, který u eMudhra vyšel už 20. 10., ještě před advisory Javy. Java keystore (/etc/ssl/certs/java/cacerts) se ale může po aktualizaci rozejít se systémovým úložištěm a je nutné ho přegenerovat (update-ca-certificates --fresh). Spolehlivých dat o rychlosti samotných balíčků Javy je málo, proto je nehodnotíme.
• Oracle OpenJDK buildy z jdk.java.net. Poskytují jen aktuální verzi (dnes Java 27) a aktualizace LTS verzí nevydávají. Pro produkci na LTS verzi nejsou určené.

Srovnání v jedné tabulce

V tabulce najdete všech 12 řešení s body za jednotlivá kritéria. Výchozí pohled odpovídá žebříčku výše. Přepnutím pohledu změníte váhy kritérií a uvidíte, jak se pořadí posune pro regulovanou firmu, pro cloud-native tým nebo když započítáte i cenu.

Ve všech třech bezpečnostních pohledech zůstávají na čele Azul Platform Core a Oracle Java SE, jen si mezi sebou mění pořadí. V pohledu pro cloud-native týmy, kde rozhoduje rychlost oprav a ověřitelnost buildů a méně smlouva a délka podpory, je první Oracle a výrazně si polepší bezplatné Oracle JDK pod NFTC a Eclipse Temurin. Když přidáte cenu, dostanou se dopředu bezplatné buildy s dobrou bezpečnostní kadencí, především Azul Zulu, Amazon Corretto a Eclipse Temurin, zatímco předplatné Oraclu klesne do druhé poloviny tabulky.

Kde samotná aktualizace nestačí

Rozdíly mezi dodavateli se měří ve dnech. Případ eMudhra ale ukázal, že v praxi často rozhoduje něco jiného: jestli firma ví, co všechno provozuje. Ve čtyřech situacích „máme aktualizováno“ neznamenalo „jsme chránění“:

1. Linuxové distribuce. OpenJDK z Debianu a Ubuntu čte certifikáty ze souboru generovaného ze systémového úložiště. Po aktualizaci ca-certificates bylo podle několika nezávislých návodů nutné Java úložiště přegenerovat. V RHEL se Java řídí systémovým balíčkem, ale image odvozené z UBI je potřeba přestavět.
2. První oprava nemusí být poslední. Kdo nasadil opravu z 21.–23. 10., musel po 24. 10. nasazovat znovu. Proces záplatování musí počítat s tím, že stejnou komponentu opravíte dvakrát za týden.
3. Kontejnery, jlink runtime a přibalená JRE. Image sestavené před opravou, runtime vytvořený nástrojem jlink nebo JRE přibalené k aplikaci třetí strany si nesou vlastní kopii certifikátů. Aktualizace JDK na hostiteli je nezmění.
4. Běžící procesy. Seznam blokovaných certifikátů načítá JVM při startu. Bez restartu se oprava neprojeví.

Dostupnost opravy u dodavatele a její skutečné nasazení jsou dvě různé věci. Tu druhou za vás žádný dodavatel nevyřeší.

Jak vybrat podle typu prostředí

Žebříček říká, kdo dodává bezpečnostní opravy nejlépe obecně. Pro konkrétní firmu ale rozhoduje, co provozuje a jak rychle umí opravu nasadit:

• Regulovaná firma s Javou 6, 7 nebo 8 v kritických systémech: placená podpora se smluvní lhůtou a backporty. Javu 6 a 7 pokrývají Azul a BellSoft (podle roadmapy do 3/2028). Pro Javu 8 je výběr širší: Oracle, Azul, BellSoft a Red Hat.
• Firma standardizovaná na RHEL: OpenJDK z RHEL v rámci subskripce, s důsledným záplatováním ca-certificates a přestavbou image.
• Cloud-native tým na Javě 17, 21 nebo 25: bezplatný build (Corretto, Zulu nebo Temurin) je bezpečnostně obhajitelný, pokud máte inventuru, automatickou přestavbu image a vlastní sledování CVE. Rozdíl několika dnů mezi dodavateli bývá menší než doba nasazení.
• Workloady v AWS nebo Azure: Corretto, případně Microsoft Build of OpenJDK. U Microsoftu počítejte s pomalejší kadencí oprav.
• Dodavatel softwaru, který Javu přibaluje zákazníkům: potřebuje vlastní proces aktualizace přibaleného runtime. Odpovědnost za něj dodavatel JDK nepřebírá. Od 11. 9. 2026 navíc pro výrobce platí ohlašovací povinnosti podle nařízení Cyber Resilience Act.

Bezplatný build stačí, pokud platí všechny tyto podmínky: provozujete Javu 17 a novější, umíte opravu sestavit, otestovat a nasadit do dvou až tří dnů, máte přehled o všech běžících JVM a jejich úložištích certifikátů a auditor po vás nežádá smluvně doloženou lhůtu dodavatele.

A co regulace? Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, ani směrnice NIS2 nepředepisují konkrétního dodavatele Javy ani pevnou lhůtu pro záplatu. Vyžadují ale řízení zranitelností a rizik dodavatelů a doložitelný proces. Prováděcí vyhláška č. 410/2025 Sb. pro režim nižších povinností navíc výslovně požaduje bezodkladné aplikování schválených bezpečnostních aktualizací a pravidelné skenování zranitelností. Nařízení DORA ve svých technických standardech navíc chce, aby si finanční subjekty samy stanovily lhůty pro instalaci záplat. Výrok „bezplatná Java porušuje NIS2“ je proto zjednodušení. Přesnější je: musíte umět doložit, co provozujete, že sledujete zranitelnosti a že schválené opravy nasazujete bez zbytečného odkladu.

Závěr

O první místo se dělí dva dodavatelé, kteří u eMudhra vydali opravy v den advisory a v říjnu 2026 i kvartální aktualizaci v den CPU: Azul Platform Core a Oracle Java SE. Rozdíl mezi nimi je pod hranicí přesnosti dat a podle zvoleného pohledu vychází výš jednou Azul, jednou Oracle. Azul boduje podporou Javy 6 a 7, volbou čistě bezpečnostních buildů a lhůtou pro kvartální opravy uvedenou na produktové stránce. Oracle boduje doloženými vydáními v den CPU, ověřeným dokumentem zásad podpory a postavením zdroje oprav. Z bezplatných řešení vychází nejlépe Amazon Corretto, hlavně díky kadenci a dlouhé podpoře Javy 8 a 11. Bezplatné Azul Zulu dostalo u eMudhra opravy ve stejný den jako placené verze a Eclipse Temurin nabízí nejlépe ověřitelné buildy. Na konci žebříčku skončily IBM Semeru a Microsoft Build of OpenJDK, především kvůli pomalejším opravám starších verzí a mimořádných zranitelností.

Volba dodavatele je ale jen polovina rovnice. Druhou polovinou je přehled o tom, které JVM, verze a distribuce Javy ve firmě skutečně běží, včetně kontejnerů a aplikací třetích stran s přibaleným JRE. Bez něj nepomůže ani dodavatel, který opravu vydá do hodiny.

Zdroje

• OpenJDK Vulnerability Advisories, OpenJDK, advisory 2025–2026 včetně 18. 8., 20. 10., 21. 10. a 24. 10. 2026
• Oracle Security Alert Advisory – CVE-2026-91403, Oracle, 21. 10. 2026
• Consolidated JDK 21 Release Notes, Oracle (data vydání 21.0.11 až 21.0.13.0.3)
• Oracle Software Technical Support Policies, Oracle, verze z 9. 10. 2026
• Oracle JDK License General FAQs, Oracle (licence NFTC a OTN)
• Transitioning Java to more frequent security updates, Oracle blog (měsíční CSPU)
• Java SE 7 End of Extended Support in July 2022, Oracle blog (konec oprav Javy 7 u Oraclu)
• Azul Platform Core, Azul, produktová stránka (úrovně podpory a lhůty pro CPU)
• Common Vulnerabilities and Exposures, Azul, dokumentace
• 53 OpenJDK vulnerabilities disclosed today set an all-time high, tisková zpráva Azulu, iTWire, 21. 10. 2026 (materiál dodavatele)
• Azul August 2026 Release: Java’s First Monthly CSPU, foojay.io, autor z Azulu (materiál dodavatele)
• eMudhra workaround, Azul, dokumentace
• Same CVEs, Different JDK Distributions: Where Do You Get Your Patches?, Azul blog, 3. 11. 2026 (materiál dodavatele)
• October 2026 Eclipse Temurin releases address the eMudhra CA compromise, Adoptium, 27. 10. 2026
• Eclipse Temurin 17.0.21, 21.0.13, 25.0.5 and 27.0.1 Available, Adoptium, 30. 10. 2026 (reprodukovatelné buildy, stav vydání)
• corretto-21 CHANGELOG, Amazon Corretto, GitHub
• Amazon Corretto October 2026 Quarterly Updates, AWS, 22. 10. 2026
• SapMachine maintenance and support, SAP (podporované verze)
• SapMachine Releases, SAP, GitHub
• Liberica JDK support roadmap, BellSoft (délka komerční podpory)
• Liberica JDK 8u512, 11.0.33, 17.0.21, 21.0.13, 25.0.5 and 27.0.1 builds are generally available, BellSoft blog, 21. 10. 2026
• eMudhra CA compromise: how to fix Java truststores, BellSoft blog, 21. 10. 2026
• Liberica JDK still trusts compromised eMudhra intermediates, GitHub issue #243, 22.–23. 10. 2026
• RHSB-2026-012 Certificate compromise – eMudhra, Red Hat Security Bulletin
• OpenJDK Life Cycle and Support Policy, Red Hat (délka podpory)
• RHSA-2026:88459 ca-certificates security update, Red Hat, 22. 10. 2026
• RHSA-2026:88560 ca-certificates security update, Red Hat, 23. 10. 2026
• Bugzilla 2558584 (CVE-2026-91403), Red Hat
• eMudhra CA Certificate Compromise: Impact on IBM Semeru Runtimes, IBM Flash, první verze 23. 10. 2026 s ručním postupem, 29. 10. přepracováno
• Security Bulletin: eMudhra CA Certificate Compromise (CVE-2026-91403 and CVE-2026-114820), IBM, 29. 10. 2026, upraveno 5. 11.
• Semeru Runtimes support, IBM (délka podpory)
• Semeru Runtimes release notes, IBM
• Release Notes for the Microsoft Build of OpenJDK, Microsoft Learn
• Java OpenJDK July 2026 Patch & Security Update, Microsoft for Java Developers, červenec 2026
• Java OpenJDK August 2026 Critical Patch Update, Microsoft for Java Developers, srpen 2026
• CVE-2026-91403, Ubuntu CVE tracker
• endoflife.date, sekundární zdroj pro délku podpory a některá data vydání
• eMudhra Java Fix Update: JDK Vendor Builds and Workarounds, Safeguard, 23. 10. 2026
• The Limits of Fingerprint Blocklists: A Reproducible Java Certificate Bypass, Sonatype, 21. 10. 2026
• Oracle Security Alert Advisory – CVE-2026-114820, Oracle, 24. 10. 2026
• Question about the release date of the April 2026 Temurin 8 Windows binaries, GitHub adoptium-support #1468
• Vyhláška č. 410/2025 Sb., o bezpečnostních opatřeních v režimu nižších povinností (§ 12)
• Does Java Trust eMudhra’s Compromised Intermediate CAs?, lilting.ch, nezávislé testy 22.–26. 10. 2026
• Java News Roundup: JDK 28 Schedule, Oracle CPUs, eMudhra Certs, InfoQ, 26. 10. 2026

Hodnocení odpovídá stavu k 6. 11. 2026. Data o rychlosti vydání měří dostupnost u dodavatele, ne nasazení u zákazníků. Tvrzení dodavatelů, která se nepodařilo nezávisle ověřit, jsou v textu označena.

Při tvorbě článku bylo využito generativní AI.