«Если микросервисы должны развертываться как полный набор в определенном порядке, то соберите их обратно в монолит и избавьте себя от хлопот».

Мэтт Стайн

Для критической уязвимости удаленного выполнения кода (RCE) в Apache Tomcat, получившей идентификатор CVE-2025-24813, опубликован эксплоит, показывающий, как взламывать серверы с помощью одного запроса PUT. Из-за этого проблема уже активно эксплуатируется злоумышленниками.

RCE-уязвимость CVE-2025-24813 была раскрыта разработчиками Apache на прошлой неделе. Сообщалось, что проблема затрагивает Apache Tomcat версий 11.0.0-M1 - 11.0.2, 10.1.0-M1 - 10.1.34 и 9.0.0.M1 - 9.0.98. Разработчики предупреждали, что при соблюдении ряда условий злоумышленники могут просмотреть или внедрить произвольное содержимое в критически важные файлы.

Всем пользователям рекомендовалось как можно скорее обновить Tomcat до версий 11.0.3+, 10.1.35+ или 9.0.99+, где проблема CVE-2025-24813 уже устранена. Также для защиты пользователи могут использовать конфигурацию сервлета по умолчанию (readonly= «true»), отключить поддержку partial PUT и избегать хранения конфиденциальных файлов в подкаталогах общедоступных путей загрузки.

Как теперь сообщают эксперты компании Wallarm, хакеры уже используют proof-of-concept эксплоиты, появившиеся в сети всего через 30 часов после раскрытия информации об уязвимости.

Исследователи предупреждают, что обычные защитные средства не могут обнаружить такую вредоносную активность, поскольку PUT-запросы выглядят нормально, а вредоносное содержимое обфусцировано с помощью base64.

https://xakep.ru/2025/03/18/apache-tomcat-rce-attacks/

Вышла общедоступная версия Java 24. В этот релиз попало около 2700 закрытых задач и 24 JEP'а. Release Notes можно посмотреть здесь. Полный список изменений API – здесь.


Java 24 не является LTS-релизом, и у неё будут выходить обновления только полгода (до сентября 2025 года).


Скачать JDK 24 можно по этим ссылкам:

Oracle JDK (лицензия NFTC)
OpenJDK (лицензия GPLv2 with Classpath Exception)

Рассмотрим все JEP'ы, которые попали в Java 24.

Далее https://habr.com/ru/news/892004/

BPMN на практике: примеры и ошибки / Хабр
https://habr.com/ru/companies/otus/articles/897578/

Мониторинг «здесь и сейчас»: используем потоки событий JDK Flight Recorder

JDK Flight Recorder (JFR) — это диагностическая подсистема, встроенная в JVM. В основе JFR лежит очень простая идея, но вокруг нее выросла разнообразная экосистема решений, позволяющих решать широкий спектр задач.

https://habr.com/ru/companies/axiomjdk/articles/917766/

Spring AI + GigaChat

Современные приложения всё чаще используют большие языковые модели (Large Language Models, LLM) для создания решений, выходящих за рамки традиционных возможностей программирования. Однако интеграция этих моделей в наши приложения часто связана с интеграцией со сложными API, управлением различными AI-провайдерами.

Spring AI — новый модуль в экосистеме Spring, которое решает эти проблемы, предоставляя общий уровень абстракции для работы с различными AI-провайдерами с использованием привычных паттернов разработки Spring приложения.

Он устраняет необходимость явного использования SDK, специфичных для конкретного провайдера, и позволяет переключаться между различными моделями без изменения кода приложения.

далее - https://antowka.ru/spring-ai-gigachat-example/

В 2026 году рынок AI-разработки окончательно перешел от этапа простых чат-ботов к созданию надежных корпоративных систем. Крупные компании ищут инженеров, способных интегрировать искусственный интеллект в существующую инфраструктуру безопасно и масштабируемо. В центре этого перехода стоит главный выбор фреймворка для оркестрации ИИ: гибкий LangChain или ориентированный на enterprise-решения Spring AI.

Далее: https://vk.ru/java_spring?w=wall-97279184_532

🔥 Spring Boot 4.1.0 вышла: что нового?

30 дней назад вышла Spring Boot 4.1.0 — первая минорная версия «четвёрки». Релиз стал ответом на актуальные проблемы: необходимость простой интеграции gRPC, улучшенной безопасности сети и «из коробки» наблюдаемости.

Кроме того, появились готовые конфигурационные свойства для Jackson, file-rolling для Log4j и встроенная поддержка Spring gRPC.

Изменения перечислены в официальных Release Notes. Никаких breaking changes — только дополнения.

Что это даёт разработчикам:
- Меньше бойлерплейта при подключении gRPC.

- Защита от SSRF буквально одной строчкой конфигурации.

- Готовые метрики OpenTelemetry без дополнительных библиотек.


Источник:
- https://github.com/spring-projects/spring-boot/wiki/Spring-Boot-4.1-Release-Notes

- https://spring.io/blog/2026/06/10/spring-boot-4

Уже успели попробовать версию 4.1.0 в своих проектах? Поделитесь впечатлениями!

Парсер вылетает, фича падает, прод в огне — знакомо? Каким бы умным ни был текстовый ИИ, стабильно возвращать данные по строгой схеме он не умеет. Модели то и дело норовят дописать вежливое пояснение, пропустить обязательное поле или перепутать типы в JSON. В Spring AI и раньше можно было вытаскивать типизированные Java-объекты через...

Далее:
https://vk.com/java_spring?w=wall-97279184_535

🔥 Jmix 3.0 вышел на Spring Boot 4 и научился менять модель данных без перезапуска

В enterprise-приложениях просьба «добавить ещё одно поле» часто означает изменение сущности, миграцию БД, доработку UI и новый деплой. Jmix 3.0 предлагает другой подход: расширять модель уже работающего приложения через административный интерфейс.

Читайте далее по ссылке:
vk.ru/@java_spring-jmix-30-vyshel-na-spring-boot-4-i-nauchilsya-menyat-model-d

Чтобы прочитать пару полей из JSON в небольшом CLI, скрипте или утилите, Java-проекту до сих пор нужна внешняя библиотека. JEP 540 предлагает закрыть этот базовый сценарий
стандартным модулем jdk.incubator.json.
Важно: статус Candidate ещё не означает попадание в конкретную версию JDK. JEP пока не назначен ни на JDK 28, ни на другой релиз, а API остаётся инкубационным и может
измениться.

Читайте далее по ссылке:
vk.ru/@java_spring-java-mozhet-poluchit-json-iz-korobki-jep-540-stal-candidate

Spring Security: CSRF и CORS атаки — разбор с примерами конфигурации SecurityFilterChain

📖 CSRF на пальцах
Понятное объяснение, почему cookie-сессия — это уязвимо, и каким звеном в цепочке атаки становится Same Origin Policy.

Читайте далее по ссылке:
https://vk.ru/@java_spring-spring-security-csrf-i-cors-ataki-razbor-s-primerami-konfigu

🔥 IntelliJ IDEA больше не нужна: Java и Kotlin Intelligence пришли в VS Code и Cursor

JetBrains сделал то, что многие считали невозможным — 4 августа вышел preview-экстеншен "Java & Kotlin by IntelliJ IDEA" для VS Code, Cursor и любых LSP-совместимых редакторов. По сути, тот самый умный движок IntelliJ теперь работает вне IntelliJ. Включая терминальные AI-агенты вроде Claude Code и Codex.

Далее читайте по ссылке:
https://vk.ru/@-97279184-intellij-idea-bolshe-ne-nuzhna-java-i-kotlin-intelligence-p?subtype=primary