博通为TrueSource Spring Enterprise加装Hub，累计修复408个漏洞
博通（Broadcom，NASDAQ: AVGO）10月27日宣布，已向关键基础设施客户及具备早期访问资格的客户提前交付 TrueSource Spring Enterprise 的89个新漏洞修复，早于公开披露。至此，TrueSource 系列产品累计修复漏洞数量达到408个。
补丁只有被部署后才真正起作用。为填补这一空档，Spring Enterprise 新增 TrueSource Hub，帮助企业评估应用暴露面、排定关键修复优先级并跟踪状态。同时，Application Advisor 的构建插件可在现有的 Maven 或 Gradle 工作流内自动完成补丁，生成更新用的 pull request，简化已批准修复的合并流程。
对开源安全的持续投入
在2026年6月开源承诺的基础上，博通使用 Frontier AI 扫描与专项研究来发现并修复漏洞。TrueSource Spring Enterprise 对所有受支持版本同步交付修复，使旧版本可立即获得补丁；对当前版本则提供仅含安全修复的补丁，以加快部署。当修复进入社区并分配 CVE 编号后，博通将公布详细的漏洞信息。
规模与影响：2026年 Spring 与 Reactor 库下载量规模庞大，博通工程师在这一年：
- 修复408个新漏洞
- 交付超过1,090个修复（含798个向后移植）
- 审核2,600多份报告
- 过滤3,000多个误报
今年早前修复的主要高危与严重漏洞：
- Spring（6月）：修复一个远程代码执行漏洞（CVE-2026-41855，CVSS 8.1），四条受支持产品线同步修复。
- Netty 依赖（6月）：发现一个 DNS 重定向漏洞（CVE-2026-47691，CVSS 10.0），与社区维护者共同处理，并在所有受支持的 Spring 版本上完成修复。
- RabbitMQ（7月）：修复一个凭证伪造漏洞（CVE-2026-67404，CVSS 9.2），四条受支持产品线一次性修复。
博通 Tanzu 事业部总经理 Purnima Padmanabhan 表示：“安全不是一次性行动，而是持续的承诺。6月我们承诺以更快的速度发现和解决 Spring 漏洞，今天的发布体现了我们持续的推进。客户可以提前拿到可部署格式的关键修复，完整看到补丁应该落在哪里，并在落地后得到确认。关键在于，修复会被回馈给开源社区——只有企业积极投入生态健康，开源才能保持韧性。”
看得见、排得清、修得掉、可证明
多数企业知道自己运行着开源软件，但很少能说清哪些应用运行着哪个版本、哪些已停止支持、哪些需要今早发布的修复。TrueSource Spring Enterprise 以四项相互配合的能力填补这一空档：
- 评估每个代码仓库。 TrueSource Hub 连接组织的代码仓库，展示 Spring 应用的安全状态与已停止支持状态，提供可用补丁与升级建议，并协助团队完成必要的代码改动；这是实时视图，而非一次性审计。
- 优先处理真正重要的修复。 博通发布修复后，Hub 会显示哪些应用需要该修复、暴露程度如何，让安全与工程负责人把精力投向风险最高的应用。TrueSource 可与团队已在使用的漏洞扫描器配合。例如 Snyk 正与博通合作，使客户能够把博通已修复的 Spring 版本识别为已修复，目标是减少不必要的告警，避免团队去追踪已解决漏洞的告警。
- 在构建过程中应用补丁。 针对 Spring 应用，Spring Application Advisor 插件直接集成到现有的 Maven 和 Gradle 构建中。修复和版本升级以可审查的 pull request 形式到达，基于 TrueSource 工程师验证过的确定性配方（deterministic recipes）构建。此外，与 JFrog Zero-Touch Remediation 的新集成可提供即时防护：自动把经过验证、向后兼容的 TrueSource 修复送入构建，安全团队不必再等待手工 pull request 和依赖覆盖（dependency overrides），在零摩擦的情况下保持软件安全。
- 通过流水线审计证明。 每次构建都会记录其来源和所包含的库，并上报给 TrueSource，安全负责人可以据此向董事会和管理层展示究竟交付了哪些库、每个修复应用在哪里。
TrueSource 产品组合
TrueSource 是博通的企业开源软件产品组合，由工程师验证，并从单一可信来源交付。它包含三项产品：
- TrueSource Spring Enterprise：针对博通维护的 Spring 框架，提供仅含 CVE 的补丁，只包含安全修复、不含其他内容，每个受支持版本同步交付，团队无需升级即可应用；外加今天宣布的工具。
- TrueSource Trusted Artifacts：面向 Java、Python 和 JavaScript 的经过验证的开源库，以及容器镜像目录 Secure Images，覆盖应用所依赖的中间件、运行时和后端服务。
- TrueSource Data Services：面向应用所依赖的数据引擎 PostgreSQL、MySQL、Valkey 和 RabbitMQ，提供自助开通、跨环境的集群管理，以及针对这些引擎本身的企业级支持，包括规定的高可用与灾难恢复方案。
可用性
TrueSource Spring Enterprise（含 TrueSource Hub 与构建插件）即日起正式可用。其89项修复立即向早期访问客户和关键基础设施客户开放，公开 CVE 发布随后进行。TrueSource Spring Enterprise、Trusted Artifacts 与 Data Services 通过分级站点授权（tiered site licensing）方式提供。
