แพตซ์ความปลอดภัยของจาวานั้นมีรอบการปล่อยปีละสามรอบ แม้ก่อนหน้านี้จะมีกรณียกเว้นที่ออราเคิลยอมปล่อยแพตซ์พิเศษในเดือนกันยายน แต่ก็ยังเหลือบั๊กมาถึงรอบปกติเดือนตุลาคม ข่าวร้ายคือแม้จะปล่อยแพตซ์ตามรอบออกมา ปัญหาก็ยังไม่หมด ทำให้บั๊กที่เหลือต้องรอรอบเดือนกุมภาพันธ์ปีหน้า

บั๊กที่ยังแก้ไม่หมดนี้เพิ่งพบในช่วงปลายเดือนกันยายนที่ผ่านมา โดยบริษัท Security Explorations ที่ออกมารายงานบั๊กรอบที่แล้ว โดยกระทบตั้งแต่ Java 5 ถึง Java 7 รวมผู้ใช้ที่ได้รับผลกระทบประมาณพันล้านคน

หลังจากที่พบช่องโหว่มากมายหลายรอบบนทุกแพลตฟอร์ม ล่าสุดแอปเปิลได้ปล่อยอัพเดตให้แก่ OS X เพื่อถอดเอาปลั๊กอินจาวาออก มีผลทำให้เว็บเบราว์เซอร์ทุกตัวบน OS X จะไม่สามารถใช้งานจาวาได้ นอกเสียจากไปดาวน์โหลดจากปลั๊กอินตัวนี้จาก Oracle โดยตรง

ก่อนหน้านี้บริษัทรักษาความปลอดภัยคอมพิวเตอร์หลายรายได้ออกมาแนะนำให้ผู้ใช้ทั่วไปลบจาวาทิ้ง แต่หลังจากนั้น Oracle ก็ได้ปล่อยอัพเดตเพื่อแก้ไขปัญหาที่พบในช่วงนั้นเรียบร้อยแล้ว แต่ไม่นาน ก็พบกับช่องโหว่ใหม่ซึ่ง ณ เวลานี้ยังไม่ได้รับการแก้ไข

ออราเคิลส่งหนังสือแจ้งศาลเขตแคลิฟอร์เนียเหนือ ว่าบริษัทเตรียมยื่นอุทธรณ์ต่อคดีลิขสิทธิ์ Java API ที่ผู้พิพากษา William Alsup ตัดสินในศาลชั้นต้นว่า API ไม่มีลิขสิทธิ์ เมื่อเดือนมิถุนายน 2012

คดีนี้ออราเคิลฟ้องกูเกิลด้วย 2 ข้อหาคือ ลิขสิทธิ์ และสิทธิบัตร ซึ่งในส่วนของสิทธิบัตรนั้น คณะลูกขุนก็ตัดสินว่ากูเกิลไม่ละเมิดสิทธิบัตรของออราเคิลด้วยเช่นกัน

ที่มา - CNET

ที่งาน JavaOne 2012 ซึ่งจัดขนานไปกับงาน Oracle OpenWorld ทางออราเคิลก็ออกมายืนยันแผนการออก Java รุ่นใหม่ๆ ดังนี้ครับ

Java SE 8

ออกช่วงปลายปี 2013 ตามที่เคยส่งสัญญาณมาก่อนแล้วว่าล่าช้า และถอดโมดูล Project Jigsaw ไปใส่ไว้ใน Java 9 แทน

ออราเคิลยังเดินหน้ารวม JVM สองตัวคือ HotSpot (ของซันเดิม) กับ JRockit (ของ BEA เดิม) เข้าด้วยกัน จะให้เสร็จใน JDK 8

Java ME 8

ออกปลายปี 2013 เช่นกัน นอกจากนี้ยังมีข่าวของ Java ME Embedded 3.2 ตามที่ประกาศออกมาก่อนงานแล้ว

JavaFX 8

ออราเคิลประกาศ Java Micro Edition (Java ME) รุ่นสำหรับอุปกรณ์ฝังตัว 2 รุ่นย่อย

• Java ME Embedded 3.2 สำหรับอุปกรณ์ขนาดเล็ก กินไฟต่ำ ไม่จำเป็นต้องมีจอภาพ ซอฟต์แวร์รุ่นใหม่ต้องการแรมอย่างต่ำแค่ 130 kB และรอมขนาด 350 kB, รองรับสถาปัตยกรรม ARM Cortex-M และ Cortex-A, สามารถอัพเดตและติดตั้งซอฟต์แวร์เพิ่มเติมได้จากระยะไกล
• Java Wireless Client 3.2 เป็น Java ME รุ่นปรับแต่งมาสำหรับโทรศัพท์มือถือในตลาดล่าง รองรับการทำงานแบบสองซิม

ในโอกาสเดียวกันนี้ ออราเคิลยังออก Java ME SDK 3.2 สำหรับพัฒนาซอฟต์แวร์ 2 ตัวข้างต้น โดยมีปลั๊กอิน Java ME SDK สำหรับ Eclipse เพิ่มมาด้วย จากเดิมที่มีแค่ NetBeans

บริษัทความปลอดภัย Security Explorations ค้นพบช่องโหว่ใหม่ของ Java SE โดยรอบนี้ครอบคลุมกว้างตั้งแต่ Java 5-6-7 บนทุกระบบปฏิบัติการ ไม่ว่าจะเป็นวินโดวส์ แมค ลินุกซ์ หรือแม้กระทั่งโซลาริส

นักวิจัยของ Security Explorations ทดสอบช่องโหว่นี้บน Windows 7 แบบ 32 บิตลงแพตช์ล่าสุด ติดตั้ง Java 6u35 และ Java 7u7 รุ่นล่าสุด ผู้ทดสอบสามารถเจาะเข้ามายังช่องโหว่นี้ และรันแอพเพล็ตอันตรายเพื่อขโมยหรือลบข้อมูลของผู้ใช้ได้ (ทาง Security Explorations ไม่เปิดเผยรายละเอียดของช่องโหว่ตัวนี้)

ทาง Security Explorations แนะนำให้ปิดการใช้งาน Java Plugin โดยทันที และอาจต้องรอถึงวันที่ 16 ตุลาคม ซึ่งเป็นรอบการอัพเดตช่องโหว่ Java ครั้งต่อไป

ทางออราเคิลยังไม่มีท่าทีใดๆ ต่อข่าวนี้ครับ

ความคิดที่จะทำให้การเขียนจาวาสามารถสร้างแอพพลิเคชั่นบนอุปกรณ์พกพาไม่ได้มีเพียงกูเกิลเท่านั้น บริษัท Codename One ได้ออกปลั๊กอินสำหรับ IDE ยอดนิยมของจาวาคือ Eclipse และ NetBeans โดยปลั๊กอินตัวนี้จะส่งโค้ดจาวาที่ถูกคอมไพล์แล้วขึ้นไปบน cloud server เพื่อแปลงกลับมาเป็นซอร์สโค้ดสำหรับแต่ละอุปกรณ์

Chen Fishbein และ Shai Almog ก่อตั้ง Codename One ในปี 2012 โดย Fishbein เป็นผู้สร้าง Lightweight User Interface Toolkit (LWUIT) และ Sprint Wireless Toolkit ซึ่งเป็นเครื่องมือสำหรับ Java ME

กูเกิลออกเครื่องมือแปลงโค้ดชื่อ J2ObjC หน้าที่ของมันก็ตามชื่อคือแปลงโค้ดภาษา Java เป็น Objective-C

เครื่องมือตัวนี้จะช่วยให้เราเขียนแอพบน iOS ด้วยภาษา Java ได้ เป้าหมายของกูเกิลคือต้องการให้นักพัฒนาแอพสามารถพัฒนาโค้ดพื้นฐานด้วยภาษา Java เพียงชุดเดียว ส่วนตัว GUI ก็เลือกได้ว่าจะใช้อะไรเขียนตามแพลตฟอร์มที่ต้องการ (เช่น Android/Java, iOS/Objective-C, Web/GWT)

J2ObjC จะแปลงคลาสของ Java เป็นคลาสของ Objective-C โดยอิงกับ iOS Foundation Framework เป็นหลัก รองรับตัวภาษา Java 6 เต็มรูปแบบ และสามารถแปลงโค้ดส่วนของ JUnit ได้ด้วย ใครสนใจเขียนแอพมือถือแบบ (เกือบ) ข้ามแพลตฟอร์ม ก็ไปดาวน์โหลดมาทดสอบกันได้

คดีสิทธิบัตรจาวามูลค่า 6 พันล้านดอลลาร์ของออราเคิลกลายเป็นค่าใช้จ่ายของออราเคิลเองเมื่อมาถึงช่วงเคลียร์ค่าใช้จ่ายในคดี โดยกูเกิลเรียกค่าใช้จ่ายในคดีเป็นเงิน 4.03 ล้านดอลลาร์ แต่ผู้พิพากษาตัดสินให้ออราเคิลจ่ายให้กูเกิล 1.13 ล้านดอลลาร์

ผู้พิพากษา Alsup ให้เหตุผลที่ออราเคิลต้องรับผิดชอบต่อค่าใช้จ่ายของกูเกิลว่าออราเคิลตั้งค่าเสียหายเริ่มต้นไว้ไกลจากความเป็นจริงเกินไป แม้จะชนะคดีในส่วนของลิขสิทธิ์ (ซึ่งออราเคิลไม่เรียกค่าเสียหาย) แต่ความเสียหายเหล่านั้นก็ไม่ใช่ความเสียหายที่ออราเคิลเรียกร้องเป็นหลักแต่แรก ทำให้สุดท้ายออราเคิลต้องเป็นผู้รับผิดชอบค่าใช้จ่ายในคดีนี้

ปัญหาช่องโหว่ของ Java กลายมาเป็นภัยคุกคามต่อผู้ใช้เข้าจริงๆ แล้ว โดยบริษัทความปลอดภัยหลายแห่งตรวจพบว่ามีการปลอมอีเมลจากไมโครซอฟท์ (ซึ่งไมโครซอฟท์เพิ่งส่งอีเมลปรับนโยบายการใช้งานออกมาจริงๆ หลายคนแถวนี้คงได้รับ) แต่เปลี่ยนลิงก์เป็นเว็บไซต์ประสงค์ร้ายแทน

ปีนี้อาจไม่ใช่ปีที่ดีของ Java และออราเคิลเท่าไรนัก นอกจากเรื่องคดีกับกูเกิล (ที่ผลไม่เป็นไปตามคาด) และเรื่องปัญหาความปลอดภัยที่กำลังเป็นข่าว เรายังมีข่าว Java 8 มีแนวโน้มเลื่อนไปหนึ่งปี, กระทบไปถึง Java 9 ล่าสุดมันลามมาถึง Java EE สำหรับตลาดองค์กรแล้ว

กรณีของ Java 7 EE จะคล้ายกับ Java 8 SE คือเตรียมฟีเจอร์ใหม่ไว้เยอะแต่ทำไม่ทัน แต่กรณีของ Java 7 EE (ที่มีแผนออกช่วงไตรมาสที่สองของปี 2013) จะใช้วิธีตัดฟีเจอร์ทิ้งเพื่อรักษากำหนดการออกรุ่นเอาไว้

หลังจากเมื่อวานที่ผมได้เขียนข่าวออราเคิลออกแพตซ์ด้านความปลอดภัยให้กับจาวาแล้วเป็นเวอร์ชัน 7 อัพเดตที่ 7 บริษัทด้านความปลอดภัย Security Explorations สัญชาติโปแลนด์ก็ได้ประกาศเกี่ยวกับช่องโหว่เพิ่มเติมที่ยังไม่ได้ถูกแก้บนแพตซ์ล่าสุด ซึ่งส่งผลให้ผู้โจมตีสามารถข้ามผ่านระบบ sandbox ของจาวาแล้วทำการรันโค้ดที่เป็นอันตรายได้

ข่าวดีก็คือช่องโหว่นี้ยังไม่ได้ใช้เพื่อโจมตีจริงจึงยังไม่ได้รับการเปิดเผยออกสู่สาธารณะ ซึ่งในขณะนี้ทางผู้ค้นพบก็ได้ส่งรายละเอียดช่องโหว่ทั้งหมดให้กับทางออราเคิลเพื่อแก้ไขแล้ว แต่คำแนะนำจากผู้เชี่ยวชาญทางด้านความปลอดภัยก็ยังเน้นย้ำให้ปิดการใช้งานจาวาเพื่อความปลอดภัยอยู่

หลังจากประเด็นที่ออราเคิลไม่ยอมออกแพตซ์ด้านความปลอดภัยให้กับจาวา ล่าสุดทางออราเคิลได้ยอมปล่อยจาวาเวอร์ชันที่ 7 อัพเดตที่ 7 แล้วเพื่อแก้ปัญหาด้านความปลอดภัยโดยเฉพาะ และยังครอบคลุมไปถึงช่องโหว่อื่นที่ไม่ได้เป็นข่าวจากการโจมตีโดยแฮกเกอร์จีนด้วย

นักวิจัยด้านความปลอดภัยจาก Immunity ได้กล่าวเกี่ยวกับช่องโหว่นี้ จากการรันเพื่อทดสอบพบช่องโหว่จากเดิม 2 ช่องโหว่ยังพบว่ามีอีก 2 ช่องโหว่ใหม่ แต่ทั้งหมดนี้ได้รับการแพตซ์ในเวอร์ชันนี้เป็นที่เรียบร้อยแล้ว

อย่าลืมไปอัพเดตเพื่อความปลอดภัยกันนะครับ

กลายเป็นประเด็นบานปลายไปเรื่อยๆ กับกรณีที่บริษัทด้านความปลอดภัยหลายแห่งแนะนำให้เลิกใช้ Java ด้วยปัญหาทางด้านความปลอดภัย จากช่องโหว่ที่ออราเคิลละเลยมากว่าครึ่งปี ตอนนี้แม้แต่ Mozilla ผู้พัฒนาเบราว์เซอร์ชื่อดังอย่าง Firefox ก็มีท่าทีคล้อยตามแล้ว

โดย Mozilla ออกมาบอกว่าผู้ใช้ที่รันปลั๊กอิน Java 1.7 นั้นมีความเสี่ยงจะถูกโจมตีจากช่องโหว่ดังกล่าว และแนะนำให้ปิดมันซะ พร้อมกับสอนวิธีการปิดมาด้วย

จากที่ก่อนหน้านี้บริษัทความปลอดภัยคอมพิวเตอร์หลายบริษัทออกมาแนะนำให้ผู้ใช้ปิดจาวาหรือถอดมันทิ้งไป บริษัท Security Explorations ก็ออกมาเปิดเผยรายละเอียดของคำแนะนำนี้ว่ามีที่มาจากบั๊กความปลอดภัยมากถึง 31 จุด ที่รายงานไปถึงออราเคิลตั้งแต่เดือนเมษายน และจนตอนนี้ได้รับการแก้ไขไปเพียง 2 จุด

รอบการแพตซ์จาวาของออราเคิล นั้นมีสามรอบต่อปี และรอบต่อไปคือเดือนตุลาคมปีนี้ ทางออราเคิลได้ตอบกลับทาง Security Explorations ว่าจะมีการแก้ไขปัญหา "บางส่วน" ส่วนที่เหลือต้องรอเดือนกุมภาพันธ์ปีหน้า

TheNextWeb ได้เขียนรายงานเชิงสรุปว่าหลาย ๆ บริษัทรักษาความปลอดภัยคอมพิวเตอร์หลายรายได้แนะนำให้ผู้ใช้ปิด Java ทิ้งหรือไม่ก็เลิกใช้มันไปเลยเพื่อความปลอดภัย หลังจากก่อนหน้านี้ที่ไมโครซอฟท์ได้เคยบอกให้ผู้ใช้ของตัวเองอัพเดต Java เป็นเวอร์ชันล่าสุดหรือไม่ก็ลบมันทิ้งเสีย

คำเตือนทั้งหมดนี้ออกมาหลังจากที่ Oracle ยังไม่ยอมปล่อยอัพเดตเพื่อปิดช่องโหว่ของ Java 7 (เวอร์ชัน 1.7) บนทุกแพลตฟอร์ม ที่เปิดช่องให้การโจมตีประเภท remote access tool (RAT) ติดตั้งตัวเองบนเครื่องลูกข่ายได้ และทุกเบราว์เซอร์ที่มีปลั๊กอินของ Java ก็ถือว่าเป็นกลุ่มเสี่ยงที่อาจตกเป็นเป้าของการโจมตีนี้

ออราเคิลออก Java Platform, Standard Edition 7 Update 6 (Java SE 7 Update 6) ซึ่งถือเป็นครั้งแรกที่ออราเคิลออกซอฟต์แวร์บน Mac OS X ครบชุด ทั้ง JRE/JDK/JavaFX (ก่อนหน้านี้ออราเคิลออก Java SE 7u4 เป็นรุ่นแรกบนแมค แต่ยังไม่ครบชุดทั้งหมด)

ผู้ใช้แมคสามารถดาวน์โหลด Java SE 7u6 ได้จากเว็บไซต์ Java.com เช่นเดียวกับระบบปฏิบัติการอื่นๆ

ของใหม่อื่นๆ ใน Java SE 7u6 คือ JDK เวอร์ชันลินุกซ์รองรับสถาปัตยกรรม ARM v6 และ v7 เรียบร้อยแล้ว ช่วยให้เราสามารถรัน Java บนฮาร์ดแวร์ ARM อย่างพวก Raspberry Pi ได้ด้วย นอกจากนี้ยังมีการปรับปรุงส่วนของ JavaFX อีกหลายจุดครับ

จากข่าวเมื่อต้นปี ออราเคิลยืดอายุ Java SE 6 ไปจนถึงเดือนพฤศจิกายน 2012 ล่าสุดทางออราเคิลก็ตัดสินใจยืดอายุขัยของ Java 6 ไปอีกรอบเป็นเดือนกุมภาพันธ์ 2013

คดีจาวาระหว่างออราเคิลและกูเกิลนั้นจบกระบวนการในศาลชั้นต้นไปแล้ว แต่ระหว่างการเจรจาเพื่อจ่ายค่าธรรมเนียมและค่าทนาย ผู้พิพากษา William Alsup ก็สั่งให้ทั้งสองบริษัทเปิดเผยรายชื่อของสื่อทุกคนที่รายงานเกี่ยวข้องกับคดีนี้แล้วได้รับเงินจากกูเกิล

ช่วงหลังๆ เราพบปัญหาด้านความปลอดภัยของ Java มากขึ้นเรื่อยๆ โดยกรณีล่าสุดคือมัลแวร์ Flashback ของแมคที่ใช้ช่องโหว่ของ Java บนแมค ส่งผลให้มีคนติดมัลแวร์ตัวนี้มากกว่า 600,000 ราย

ล่าสุด Matt Oh นักวิจัยด้านความปลอดภัยของ Microsoft Malware Protection Center ขึ้นพูดที่งานสัมมนาด้านความปลอดภัย Black Hat 2012 โดยระบุว่าสถิติของไมโครซอฟท์เองก็พบปัญหาด้านความปลอดภัยของ Java มากขึ้นเรื่อยๆ เช่นกัน แถมจุดเด่นของ Java เรื่องการทำงานข้ามแพลตฟอร์ม ก็กลายเป็นช่องโหว่ที่ผู้ประสงค์ร้ายสามารถเจาะได้ทั้งวินโดวส์-แมค-ยูนิกซ์พร้อมกันได้ในคราวเดียวอีกด้วย

กำหนดการออก Java 8 แต่เดิมคือต้องออกภายในปีนี้ แต่เมื่อปีที่แล้วก็มีเหตุการณ์ทำให้ออราเคิลตัดสินใจเลื่อนกำหนดการออกไปเป็นกลางปี 2013 ล่าสุด Mark Reinhold หัวหน้าฝ่ายสถาปัตยกรรมจาวา ก็ออกมาเขียนบล็อกว่าข้อเสนอตอนนี้คือต้องเลื่อนการออก Java 8 ออกไปอีกหนึ่งปีเป็นปี 2014

คดีระหว่างออราเคิลกับกูเกิลใกล้ได้ข้อยุติ เพราะล่าสุดออราเคิลตัดสินใจเรียกค่าเสียหายจากกูเกิลจากส่วนละเมิดลิขสิทธิ์โค้ด เป็นมูลค่า 0 ดอลลาร์

เหตุผลที่ออราเคิลไม่เรียกร้องค่าเสียหายจากกูเกิล เพราะต้องการเร่งปิดคดีในศาลชั้นต้นให้จบโดยเร็ว เพื่อจะเดินหน้ายื่นอุทธรณ์ต่อไป

ในขั้นต่อไป กูเกิลจะต้องยื่นคำร้องให้ออราเคิลจ่ายค่าทนายให้ ซึ่งก่อนหน้านี้กูเกิลเปิดเผยแล้วว่าจะเรียก 300,000 ดอลลาร์ (แต่ยังไม่ได้ยื่นเอกสาร)

ผู้พิพากษา William Alsup กล่าวในศาลว่าเขาไม่แน่ใจว่าจะได้พบผู้ที่มีส่วนกับคดีนี้อีกหรือไม่ คาดว่าคดีนี้จะสิ้นสุดในเร็วๆ นี้

ไมโครซอฟท์ประกาศขยายขีดความสามารถของแพลตฟอร์ม Windows Azure อีกหลายอย่าง

ในส่วนของ Azure ที่เป็น PaaS แบบเดิม ไมโครซอฟท์เพิ่มไลบรารีภาษา Python และ Java เข้ามา (จากเดิมที่รองรับ .NET, PHP, Node.js) ออกปลั๊กอินสำหรับ Eclipse/Java, รองรับ MongoDB, ใช้งาน Memcached สำหรับภาษาที่ไม่ใช่ตระกูล .NET และรองรับ Apache Solr/Lucene

สำหรับงานด้านเว็บก็มี Windows Azure Web Sites ที่รองรับเฟรมเวิร์คด้านการพัฒนาเว็บหลายตัว เช่น ASP.NET, PHP, Node.js รวมไปถึง CMS ยอดนิยมอย่าง WordPress, Joomla!, Drupal, Umbraco, DotNetNuke โดยเชื่อมต่อกับ MySQL หรือ Windows Azure SQL ก็ได้

Open Innovation Network (OIN) เป็นหน่วยงานที่เกิดขึ้นจากสมัยการฟ้องร้องลิขสิทธิ์และสิทธิบัตรลินุกซ์ ทำให้บริษัทใหญ่ๆ ที่ใช้งานโอเพนซอร์สพากันเอาสิทธิบัตรมากองรวมกันเพื่อให้สมาชิกหยิบสิทธิบัตรไปฟ้องกลับได้หากถูกฟ้องจากหน่วยงานอื่น ล่าสุด Keith Bergelt ซีอีโอของ OIN ออกมาแสดงความยินดีกับคดีสิทธิบัตรจาวาระหว่างกูเกิลและออราเคิล โดยระบุว่าเป็นสัญญาณที่ดีที่ผู้พิพากษามีการตัดสินใจอย่างชัดเจนและมีการคิดวิเคราะห์อย่างมาก และการตัดสินเช่นนี้เป็นผลดีต่อชุมชน [โอเพนซอร์ส] โดยรวม

ทั้งกูเกิลและออราเคิลต่างก็เป็นสมาชิกของ OIN ทั้งคู่ แต่เนื่องจาก OIN ตั้งขึ้นมาเพื่อปกป้องการฟ้องสิทธิบัตรที่เกี่ยวข้องกับเคอร์เนลลินุกซ์ เทคโนโลยีจาวาจึงไม่ครอบคลุมถึงข้อตกลงในการเข้าเป็นสมาชิกหน่วยงานนี้

คดีระหว่างออราเคิล-กูเกิลเดินทางมาถึงข้อยุติ (ในศาลชั้นต้น) เมื่อผู้พิพากษา William Alsup ตัดสินประเด็นสุดท้ายว่ากูเกิลไม่ได้ละเมิดลิขสิทธิ์ Java API ของออราเคิลแต่อย่างใด

(ข่าวเก่าสำหรับคนที่ไม่ได้ติดตามคดีนี้ สรุปความคืบหน้าคดี Oracle vs Google และ คณะลูกขุนตัดสิน กูเกิลไม่ละเมิดสิทธิบัตรออราเคิล)

คำตัดสินของผู้พิพากษา Alsup คือ "ตราบเท่าที่โค้ดที่ใช้สร้าง API นั้นต่างกัน ทุกคนมีเสรีภาพในการเขียนโค้ดที่ให้ได้ผลลัพธ์ออกมาเท่ากับฟังก์ชันหรือเมธอดที่ใช้ใน Java API"