What is Never-Ending Support (NES) for Apache CXF?

HeroDevs 提供的 Apache CXF 3.4.x 和 3.5.x 维护版。安全修复程序基于上游最新版本（3.4.10 和 3.5.11）的分支进行，并以相同的 org.apache.cxf 坐标发布，同时带有 NES 版本字符串，因此您只需修改一个 BOM 版本，其他内容无需更改。

Which Apache CXF versions does NES support?

有两条分支：3.4.x（从 3.4.10 分支而来）和 3.5.x（从 3.5.11 分支而来）。这两条分支均要求使用 Java 8，并保留 javax.* 命名空间。CXF 3.6、4.0、4.1 和 4.2 不属于 NES 分支。

What does drop-in replacement mean here?

组 ID 和工件 ID 保持不变。您只需在 NES 版本下导入 org.apache.cxf:cxf-bom，添加 HeroDevs 注册表，然后重新构建即可。应用程序代码、配置和 WSDL 契约均保持不变。

What does NES for Apache CXF actually patch?

CXF 自身代码中存在的 CVE，涉及 OAuth2 和 OIDC 过滤器、JMS 传输、WS-Security 和 STS、XML 和 WSDL 解析、附件处理以及 Netty HTTP 客户端。当前列表（包含每个修复项对应的 VEX 说明）位于漏洞目录中，以及 docs.herodevs.com 上的发布说明中。

Why can't we just move to CXF 4.x?

CXF 4.0 已迁移至 jakarta.* 命名空间，而 4.1 将最低支持版本提升至 Java 17，因此每次导入 javax 时，Java 运行时版本也会随之变更。CXF 3.6 仍保留 javax，但需要 Java 11。如果您的应用程序锁定在 Java 8，那么在不进行迁移的情况下，没有上游版本能满足要求。

Does NES for Apache CXF help with compliance?

每个修复程序都附带一份 HeroDevs VEX 声明以及扫描器可识别的 NES 版本字符串，这是审计员根据 PCI DSS、SOC 2、HIPAA、NIS2、DORA 和欧盟 CRA 要求提供的证据。HeroDevs 是 CVE 编号授权机构。

Is NES a permanent alternative to upgrading?

NES 会在 3.4 和 3.5 版本处于生产环境期间持续为其提供补丁。未来向 CXF 4.x 的迁移，一旦启动，将基于安全的基线进行，而非因安全事件而被迫进行。

Apache CXF -Never-Ending Support (NES)

安全、合规与业务连续性——一举解决

借助我们为已停止维护的 Apache CXF 版本提供的安全即插即用替代方案，您的安全扫描器将彻底停止对已停止维护的 Apache CXF 版本中的 CVE 进行标记。

安全

Apache CXF 3.4.x 和 3.5.x 版本不再接收上游的安全修复程序。NES 发布了经过维护的构建版本，因此框架中出现的新 CVE 会得到修复，而不是不断累积。

基于SLA的补丁分发与严重程度相关

HeroDevs 是一家经授权的 CVE 编号机构，负责披露已发现的漏洞

合规

每个 NES for Apache CXF 版本都附带 HeroDevs VEX 语句，每个 CVE 对应一条，其中明确指明了包含修复程序的具体构建产物及其版本。

SOC 2、PCI DSS、HIPAA、FedRAMP、ISO 27001、NIS2 等

面向审计人员的补丁历史记录

业务连续性

Apache CXF 的每个受维护版本都至少需要 Java 11，而 4.x 版本还要求迁移到 jakarta.* 命名空间。如果您的应用程序在 Java 8 上运行，则没有可迁移的上游版本。在您进行迁移期间，NES 将继续提供支持。

需要数月或数年的过渡期才能顺利完成迁移

迁移成本或数据泄露成本的一小部分。

Apache CXF 3.4 和 3.5 不再发布上游版本。 3.5 版本的最后一个补丁是 2025 年 3 月发布的 3.5.11，3.4 版本的最后一个补丁是 2022 年 12 月发布的 3.4.10，此后发布的每份 CXF 安全公告所包含的修复程序仅适用于 3.6 和 4.x 版本。这两个版本系列在其上游的最终发布版本中均存在未修复的 CVE 漏洞。

我们发布的每个补丁都有相应的CVE条目

HeroDevs 是一家经授权的 CVE 编号机构（CNA），获 CVE 计划授权，负责发现并为 HeroDevs 发现的安全漏洞分配 CVE 标识符。

每个 Apache CXF 的 NES 版本都附带 HeroDevs VEX 语句，每个 CVE 对应一条，其中明确指明了包含修复程序的具体构建产物及其版本。

如果您目前仍在使用旧版 Apache CXF，您的应用程序将面临以下安全漏洞的风险。NES for Apache CXF 可在数分钟内修复这些漏洞。

已修复17个CVE——且数量仍在增加

严重性

CVE

类别

受影响的版本

发布日期

低

CVE-2026-108039

拒绝服务

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

低

CVE-2026-86463

正则表达式拒绝服务

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

中型

CVE-2026-78384

拒绝服务

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

中型

CVE-2026-100227

伪造签名

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

高

CVE-2026-79650

URL 重定向/开放重定向

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

高

CVE-2026-97791

授权旁路

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

低

CVE-2026-73179

授权旁路

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

高

CVE-2026-107938

证书验证不当

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月14日

高

CVE-2026-97468

弱认证

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月9日

低

CVE-2026-71575

授权旁路

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月9日

低

CVE-2026-107937

拒绝服务

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月9日

高

CVE-2026-57818

授权旁路

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

高

CVE-2025-23184

拒绝服务

<3.5.10, >=3.6.0 <3.6.5, >=4.0.0 <4.0.6

2026年10月1日

中型

CVE-2024-32007

拒绝服务

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

2026年10月1日

关键

CVE-2024-28752

服务器端请求伪造

<3.5.8, >=3.6.0 <3.6.3, >=4.0.0 <4.0.4

2026年10月1日

高

CVE-2026-65432

XML 外部实体引用的限制不当

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

中型

CVE-2026-44618

XML 外部实体引用的限制不当

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026年10月1日

关键

CVE-2026-66909

远程代码执行

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

中型

CVE-2026-50634

伪造签名

>=3.0.3 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

关键

CVE-2026-68079

授权旁路

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

高

CVE-2026-50631

使用共享资源且同步不当的并发执行

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

高

CVE-2026-54225

拒绝服务

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

高

CVE-2026-57817

数据真实性验证不足

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

高

CVE-2026-64958

拒绝服务

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

关键

CVE-2026-44930

信息披露

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026年10月1日

高

CVE-2026-57819

拒绝服务

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

中型

CVE-2026-50629

日志注入

>=3.1.7 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

关键

CVE-2026-50627

授权旁路

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

中型

CVE-2026-50630

内容欺骗

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

高

CVE-2026-50645

拒绝服务

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

关键

CVE-2026-61466

授权旁路

>=3.1.8 <3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

关键

CVE-2026-49875

XML 外部实体引用的限制不当

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

高

CVE-2026-50633

远程代码执行

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

高

CVE-2024-29736

服务器端请求伪造

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

2026年9月29日

高

CVE-2026-50632

远程代码执行

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年9月29日

关键

CVE-2025-48913

远程代码执行

<3.6.8, >=4.0.0 <4.0.9, >=4.1.0 <4.1.3

2026年9月29日

中型

CVE-2026-50623

授权旁路

>=3.1.5 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年9月26日

高

CVE-2026-68481

授权旁路

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年9月26日

关键

CVE-2026-65583

弱认证

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年9月26日

高

CVE-2026-44417

远程代码执行

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026年9月26日

关键

CVE-2026-50628

授权旁路

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年9月26日

关键

CVE-2026-63687

授权旁路

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年9月26日

加载更多

严重性

身份证

类别

受影响的版本

发布日期

低

CVE-2026-107937

拒绝服务

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026年10月9日

高

CVE-2026-57818

授权旁路

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

高

CVE-2025-23184

拒绝服务

<3.5.10, >=3.6.0 <3.6.5, >=4.0.0 <4.0.6

2026年10月1日

中型

CVE-2024-32007

拒绝服务

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

2026年10月1日

关键

CVE-2024-28752

服务器端请求伪造

<3.5.8, >=3.6.0 <3.6.3, >=4.0.0 <4.0.4

2026年10月1日

高

CVE-2026-65432

XML 外部实体引用的限制不当

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

中型

CVE-2026-44618

XML 外部实体引用的限制不当

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026年10月1日

关键

CVE-2026-66909

远程代码执行

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

中型

CVE-2026-50634

伪造签名

>=3.0.3 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026年10月1日

关键

CVE-2026-68079

授权旁路

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026年10月1日

获取支持

查看完整目录

NES for Apache CXF 发布的内容

上游为 3.4.10 和 3.5.11 版本发布的每个 org.apache.cxf 运行时、传输、安全、工具和集成工件均发布在 NES 坐标下。测试框架、原型和 OSGi 集成测试不面向客户，因此未在此处显示。

核心与传输

cxf-core

cxf-rt-transports-http

cxf-rt-transports-jms

cxf-rt-transports-http-netty-client

cxf-rt-transports-http-jetty

cxf-rt-transports-http-undertow

SOAP 和 WS-*

cxf-rt-frontend-jaxws

cxf-rt-bindings-soap

cxf-rt-databinding-jaxb

cxf-rt-wsdl

cxf-rt-ws-security

cxf-rt-ws-rm（简体中文（大陆））

cxf-rt-ws-transfer

cxf-services-sts-core

REST 和 JAX-RS 安全

cxf-rt-frontend-jaxrs

cxf-rt-rs-client

cxf-rt-rs-security-oauth2

cxf-rt-rs-security-sso-oidc

cxf-rt-rs-security-jose-jaxrs

cxf-rt-rs-security-xml

cxf-rt-rs-extension-search

集成

cxf-spring-boot-starter-jaxws

cxf-spring-boot-starter-jaxrs

cxf-spring-boot-autoconfigure

cxf-集成-cdi

cxf-集成-jca

构建工具

cxf-codegen-plugin

cxf-java2ws-plugin

cxf-wadl2java-plugin

cxf-wsdl-validator-plugin

针对每一项标准、框架或法规，都提供一个站得住脚的答案。

EOL 软件会破坏全球各项法规对补丁管理的预期。NES 为您提供经过维护且由供应商支持的版本，附带明确的服务水平协议（SLA）和有据可查的补丁历史记录，以便向审计机构和监管机构证明合规性。

PCI DSS

美国

要求 6.3.3 规定，已知的关键级和高严重性漏洞必须在 30 天内修复。已达到生命周期结束（EOL）且上游无补丁的 Apache CXF 将导致您不符合合规要求。NES 恢复了补丁路径。

HIPAA

美国

未受支持的框架使得难以证明处理电子受保护健康信息（ePHI）的系统具备合理的保障措施。NES 提供主动维护和风险降低服务。

SOC 2

全球

信任服务标准要求及时修复漏洞并进行补丁管理。除非存在补偿性支持方案，否则已停止支持（EOL）的依赖项会在审计中引发重大问题。NES 正是这一支持方案。

NIS2

欧盟

第21条涉及补丁管理、漏洞管理和供应链管理。运行已达到生命周期终止（EOL）且没有持续维护支持渠道的软件会带来风险，NIS2要求运营商积极采取措施降低此类风险。

DORA

欧盟

DORA 将生命周期结束（EOL）软件视为金融信息通信技术（ICT）资产的韧性漏洞。NES 为您提供经过维护的构建版本以及有文档记录的补丁管理计划。

《网络韧性法》

欧盟

管理包含数字元素的产品的软件生命周期安全。在保障期内，NES 将为您已停产的 Apache CXF 产品线提供经过维护和修补的构建版本。

NIST CSF 2.0

美国

控制措施 PR.PS-02 要求各组织根据风险情况，主动维护或移除存在漏洞的软件。NES 可在无需强制升级的情况下实现合规。

FedRAMP

美国

持续监控要求按照既定周期修复漏洞。经过修补且获得供应商支持的版本，可为您的信息安全运营办公室（ISSO）提供有据可依的修复路径，从而证明将已达到生命周期终止（EOL）的 Apache CXF 保留在授权边界内的合理性。

商业合同

全球

漏洞和配置管理控制措施要求识别技术漏洞，并确保软件符合安全标准。NES 可为已停产（EOL）软件恢复这种安全状态。

我们与开源工程师及生态系统贡献者通力合作，确保我们的“永续支持”（Never-Ending Support）产品能保持您对原版产品一贯期待的品质。

通过汇聚具备深厚项目专业知识的工程师，我们在开源软件维护领域树立了新标杆，确保 Apache CXF 的“永续支持”（NES）与它所基于的上游技术一样值得信赖。

我们回馈开源社区

开源维护者从事着至关重要的工作，却很少因此获得报酬。

HeroDevs 正投入 2000 万美元来改变这一现状——通过提供 2,500 至 250,000 美元的资助，支持那些维系生态系统运行的创作者和项目。

我们曾为无人维护的代码库编写补丁，在无人关注之处追踪漏洞，并确保关键系统在无需仓促重写的情况下安全运行。该基金正是基于这些工作而设立，旨在让维护者能够继续发挥所长。

了解更多 →