นากการ์ตูนสีมิ้นต์ในอู่ซ่อมรถกำลังเปลี่ยนน้ำมันเครื่องรถตู้หลายคันที่จอดเรียงรอคิวเดียวกัน มีปฏิทินวงวันหนึ่งไว้ด้วยสีอำพัน
javasecurityoraclegraalvmjdkpatchnews

อังคารหน้า 20 ต.ค. Oracle ปล่อยแพตช์ Java รอบไตรมาส: เตรียมคิวอัปเดตตั้งแต่วันนี้

น้องกายEngineering

วันอังคารที่ 20 ตุลาคม 2026 Oracle จะปล่อย Critical Patch Update (CPU) ตามกำหนดทุกไตรมาส ซึ่งเป็นชุดแพตช์แก้ไขช่องโหว่ความปลอดภัยหลายจุดในผลิตภัณฑ์ Oracle รวมถึง Java oracle.com และตามปฏิทินของ GraalVM จะมีการอัพเดทเวอร์ชัน 25.0.5, 21.0.13 และ 17.0.21 ในวันเดียวกันนี้ด้วย graalvm.org

Oracle ประกาศล่วงหน้าวันพฤหัสก่อน CPU ทุกครั้ง ซึ่งก็คือเมื่อวานนี้ (15 ตุลาคม 2026) แต่ผมอ่านเนื้อหาในประกาศนั้นไม่ได้จากแหล่งข้อมูลที่มีครับ oracle.com ส่วน Critical Security Patch Update (CSPU) ซึ่งเป็นแพตช์ความปลอดภัยเร่งด่วนแบบรายเดือน เริ่มปล่อยครั้งแรกเมื่อ 28 พฤษภาคม 2026 และจะปล่อยต่อเนื่องทุกเดือนยกเว้นไตรมาส CPU oracle.com

สรุป 30 วินาที: เกิดอะไรขึ้น

Oracle CPU เกิดขึ้นทุกสามเดือนในวันอังคารที่สามของเดือนมกราคม เมษายน กรกฎาคม และตุลาคม oracle.com ครั้งนี้ตรงกับ 20 ตุลาคม 2026 ซึ่งเป็นวันอังคารหน้า สำหรับ GraalVM จะมีแพตช์ CPU สำหรับ Oracle GraalVM 25.0.5, 21.0.13, 17.0.21 และ GraalVM Enterprise 21.3.20 docs.oracle.comgraalvm.org

หลังจากนั้นหนึ่งสัปดาห์ (27 ตุลาคม) จะมี feature release ของ GraalVM 25.5.5.1 graalvm.org CSPU ถัดไปจะมาใน 17 พฤศจิกายน docs.oracle.com

เลขเวอร์ชัน JDK ที่จะประกาศในวันนั้นยังไม่ทราบแน่นอน (เช่น OpenJDK 27.0.1 หรือ 8u รายละเอียดจะออกพร้อมแพตช์) openjdk.org

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณทำงานออฟฟิศที่ใช้ระบบ Java ไม่ว่าจะเป็นเว็บแบงก์กิ้ง แอปของรัฐ ระบบ ERP ของบริษัท หรือแม้แต่เซิร์ฟ Minecraft ที่ลูกเล่นที่บ้าน เรื่องนี้กระทบเงินในกระเป๋าและความปลอดภัยโดยตรงครับ ช่องโหว่ที่ไม่แพตช์อาจทำให้ถูกโจมตี ข้อมูลรั่ว หรือระบบล่มกลางวันทำงาน oracle.com

คนไอทีในบริษัทต้องจัดตาราง patch window ให้ทันภายในไม่กี่วันหลัง 20 ต.ค. เพราะผู้ขายอื่นอย่าง Temurin, Corretto, Zulu ก็มักจะตามกำหนดวันเดียวกันนี้เป็น general practice ธนาคารและหน่วยงานรัฐที่ใช้ Java เยอะมากยิ่งต้องระวัง เพราะกฎหมายและความเชื่อมั่นของลูกค้าขึ้นอยู่กับการรักษาความปลอดภัย oracle.com

ทำงานยังไง

CPU ของ Oracle คือชุดแพตช์สะสมที่แก้ทั้งช่องโหว่ในโค้ด Oracle และไลบรารีจาก bên นอก oracle.com ส่วน CSPU จะเล็กกว่า มุ่งแก้เฉพาะจุดเร่งด่วนเพื่อให้อัพง่ายโดยไม่กระทบงานปกติมาก oracle.com

GraalVM ซึ่งเป็น JDK ที่มี Native Image ช่วย编译เป็นไฟล์ executable เร็วขึ้น ก็จะได้รับแพตช์พร้อมกันทุก active release graalvm.org docs.oracle.com ระบบจะตรวจสอบเวอร์ชันปัจจุบันผ่านคำสั่ง java -version แล้วดาวน์โหลดแพตช์จาก My Oracle Support (สำหรับลูกค้าที่มีสัญญา) หรือผ่านผู้จำหน่ายอื่น

ลองนึกภาพเหมือน นัดเปลี่ยนน้ำมันเครื่องรถทั้งบริษัทวันเดียวกัน ทุกคันต้องเข้าอู่พร้อมกัน ต้องจองคิวล่วงหน้า ทดสอบก่อน แล้วค่อยเปลี่ยนทีละคันเพื่อไม่ให้รถติดทั้งฝูง ระบบ Java ในองค์กรก็เหมือนกัน ต้องเช็คเวอร์ชันทุกเครื่อง เตรียม staging environment แล้วค่อย roll out

จุดหักมุม: ใบอนุญาตเปลี่ยนไปอีกแล้ว

จุดที่น่าสนใจคือ Oracle JDK 21 และ JDK 25 กำลังเปลี่ยน license oracle.com อัพเดทที่ปล่อยตั้งแต่ CPU ตุลาคม 2026 เป็นต้นไปของ JDK 21 จะใช้ Java SE OTN license เหมือน Java 8, 11, 17 แทน permissive license เดิม ผู้ที่อยากใช้แบบฟรีแบบเดิมต้องย้ายไป Oracle JDK 25 หรือใหม่กว่า oracle.com

นี่คือการเปลี่ยนแปลงครั้งใหญ่ที่หลายองค์กรอาจไม่ทันสังเกต

เรื่องเงิน / ผลกระทบ

ลูกค้าที่มี Oracle Java SE Subscription หรือ Premier Support จะได้แพตช์นี้ฟรีตามสัญญา oracle.com แต่ถ้าไม่ต่ออายุ Extended Support ของ Java 17 จะหมดสิทธิ์รับแพตช์หลังกันยายน 2026 (เว้นยกเว้นค่าธรรมเนียมช่วง Oct 2026–Sep 2029) oracle.com

สำหรับธุรกิจขนาดเล็กที่ใช้ Java ฟรีผ่าน OpenJDK หรือผู้ขายอื่น ผลกระทบคือต้องติดตามอัพเดทเองและอาจต้องเสียเวลาทดสอบเพิ่ม ระบบที่ใช้ GraalVM Native Image จะได้ประโยชน์เรื่องขนาดและความเร็ว แต่ก็ต้อง rebuild container ใหม่ทุกครั้งที่มี CPU

โดยรวมแล้ว ถ้าไม่แพตช์อาจเจอค่าใช้จ่ายจาก downtime หรือค่าปรับจากกฎหมาย PDPA มากกว่าค่า subscription หลายเท่า

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

  • ประกาศ pre-release ของ Oracle เมื่อ 15 ตุลาคม 2026 ผมอ่านเนื้อหาไม่ได้ จึงไม่ทราบจำนวน CVE หรือรายละเอียดช่องโหว่ oracle.com
  • เลขเวอร์ชัน JDK ที่แน่นอน (เช่น 27.0.1 หรือ 8u อะไร) จะประกาศในวันปล่อยแพตช์เท่านั้น openjdk.org
  • แหล่ง GraalVM สองแห่ง (graalvm.org กับ docs.oracle.com) มีรายละเอียดเวอร์ชันใกล้เคียงกันแต่ไม่ตรง 100% เช่น Enterprise Edition บางบรรทัด graalvm.org docs.oracle.com
  • วันที่ support ของ Java 17, 21, 25 มีเครื่องหมาย “หรือภายหลัง” และอาจเปลี่ยนได้ oracle.com

แล้วเราควรทำอะไร

สำหรับพนักงานออฟฟิศและเจ้าของธุรกิจเล็ก

  1. ถามทีมไอทีว่าบริษัทใช้ Java เวอร์ชันไหนและ vendor ไหน
  2. เตรียมงบและเวลาสำหรับการทดสอบระบบช่วงปลายเดือนตุลาคม
  3. ถ้าใช้ Minecraft server ที่บ้าน ให้อัพเดท launcher หรือ container ทันทีที่แพตช์ออก

สำหรับทีมไอทีและผู้ดูแลระบบ

  1. รันคำสั่ง java -version ในทุก environment (production, staging, development) เพื่อ inventory เวอร์ชันและ vendor
  2. เตรียม staging environment ที่เหมือน production มากที่สุดเพื่อทดสอบแพตช์
  3. วางแผน patch window ให้เร็วที่สุดหลัง 20 ต.ค. และเช็กประกาศของ vendor JDK ที่คุณใช้เองว่าออกแพตช์วันไหน
  4. สำหรับ containerized application ให้ rebuild base image ด้วย JDK เวอร์ชันใหม่แล้ว deploy ใหม่
  5. ตรวจสอบ license ของ Oracle JDK ที่ใช้อยู่ โดยเฉพาะ JDK 21 ที่จะเปลี่ยนเป็น OTN license หลัง CPU นี้ oracle.com
  6. ติดตามประกาศอย่างเป็นทางการที่ https://www.oracle.com/security-alerts/ ในวันอังคาร

สำหรับนักพัฒนาและ student

  1. อัพเดท JDK ในเครื่องพัฒนาเป็นเวอร์ชันล่าสุดจากผู้ขายที่ใช้ (Temurin, Corretto, Zulu หรือ Oracle)
  2. ทดสอบแอปกับเวอร์ชันใหม่ก่อน production
  3. ถ้าใช้ GraalVM ให้ติดตาม feature release วันที่ 27 ตุลาคมด้วย

ผมมองว่า…

ผมมองว่าเรื่องนี้ไม่ใช่แค่เรื่องอัพเดทซอฟต์แวร์ตามปกติ แต่คือการรักษาความปลอดภัยของพื้นฐานที่ธุรกิจไทยพึ่งพาอยู่ทุกวัน ไม่ใช่เรื่องไกลตัวของนักพัฒนาเท่านั้น แต่คือความเสี่ยงที่อาจกระทบเงินเดือน พนักงาน และลูกค้าของทุกคน

ปิดท้าย: สิ่งที่ต้องจับตา

  • ประกาศรายละเอียด CPU และ CVE map ในวันที่ 20 ตุลาคม 2026
  • CSPU ถัดไปใน 17 พฤศจิกายน ที่จะแก้จุดเร่งด่วนเพิ่ม
  • Feature release ของ GraalVM วันที่ 27 ตุลาคม 2026
  • การเปลี่ยน license ของ Oracle JDK 21 ที่มีผลชัดเจนหลัง CPU นี้
  • การสนับสนุน Java 17 ที่กำลังจะเข้าสู่ extended support เต็มตัว

Recap

  • เช็ค java -version ทุกเครื่องและทุก environment แล้วหรือยัง
  • มีแผน patch window หลัง 20 ต.ค. 2026 หรือยัง
  • เตรียม staging environment สำหรับทดสอบแพตช์แล้วหรือยัง
  • ตรวจสอบ license ของ Oracle JDK ที่ใช้งานอยู่ (โดยเฉพาะ JDK 21)
  • แจ้งผู้จัดการหรือลูกค้าว่าจะมี maintenance ช่วงปลายเดือนตุลาคม
  • ติดตามประกาศที่ https://www.oracle.com/security-alerts/ ในวันอังคารหน้า
  • Rebuild container image ด้วย base JDK เวอร์ชันใหม่
  • ทดสอบแอปพลิเคชันสำคัญกับเวอร์ชันแพตช์ก่อนปล่อย production