Spring Boot 4.0.6 发布，紧急修复了 8 个安全漏洞，赶紧看看自己的 Spring Boot 版本！！

Spring Boot 4.0.6 正式发布了这次不是功能型大版本包含65 项 bug 修复、文档改进和依赖升级。最重要的一点是一次性紧急修复了8 个 CVE其中1 个 Critical、2 个 High、5 个 Medium尤其是 Actuator 端点未授权访问那个非常严重的风险已经上 Spring Boot 4.0.x 的项目建议别拖。严重漏洞1、Actuator 端点未授权访问CVE-2026-40976级别Critical。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS在某些情况下Spring Boot 的默认 Web 安全机制无效导致所有 Actuator 端点均可能被未授权访问。高风险漏洞1、获取远程密钥CVE-2026-40972级别High。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS3.5.x3.5.14OSS3.4.x3.4.16仅企业支持3.3.x3.3.19仅企业支持2.7.x2.7.33仅企业支持在同一网络中的攻击者可能利用时序攻击获取远程密钥的相关信息。在极端情况下攻击者可能据此确定密钥并上传修改后的类文件从而在远程应用中实现远程代码执行。2、劫持已认证用户CVE-2026-40973级别High。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS3.5.x3.5.14OSS3.4.x3.4.16仅企业支持3.3.x3.3.19仅企业支持2.7.x2.7.33仅企业支持在同一主机上的本地攻击者可能能够控制ApplicationTemp所使用的目录。当server.servlet.session.persistent设置为true且攻击在应用重启后仍持续存在时攻击者可能读取会话信息劫持已认证用户或部署 gadget 链并以应用用户的权限执行代码。中风险漏洞1、Elasticsearch SSL 未验证主机名CVE-2026-40970级别Medium。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSSElasticsearch 当配置为使用 SSL 套件时Spring Boot 的 Elasticsearch 自动配置在连接 Elasticsearch 服务器时不会执行 TLS 主机名验证存在被中间人攻击的风险。2、RabbitMQ SSL 未验证主机名CVE-2026-40971级别Medium。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS3.5.x3.5.14OSSRabbitMQ 当配置为使用 SSL bundle 套件时Spring Boot 的 RabbitMQ 自动配置在连接 RabbitMQ 代理时不会执行 TLS 主机名验证存在被中间人攻击的风险。3、Cassandra SSL 未验证主机名CVE-2026-40974级别Medium。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS3.5.x3.5.14OSS3.4.x3.4.16仅企业支持3.3.x3.3.19仅企业支持2.7.x2.7.33仅企业支持Cassandra 当配置为使用 SSL bundle 套件时Spring Boot 的 Cassandra 自动配置在连接 Cassandra 代理时不会执行 TLS 主机名验证存在被中间人攻击的风险。4、随机值密钥可预测CVE-2026-40975级别Medium。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS3.5.x3.5.14OSS3.4.x3.4.16仅企业支持3.3.x3.3.19仅企业支持2.7.x2.7.33仅企业支持使用${random.value}生成的值不适用于作为密钥使用困为${random.int}和${random.long}为数值类型取值范围可预测绝不能用于密钥。使用${random.uuid}不受影响。5、破坏主机上的文件CVE-2026-40977级别Medium。受影响 Spring Boot 版本影响版本修复版本可用性4.0.x4.0.6OSS3.5.x3.5.14OSS3.4.x3.4.16仅企业支持3.3.x3.3.19仅企业支持2.7.x2.7.33仅企业支持当应用程序配置为使用ApplicationPidFileWriter时本地攻击者若拥有对 PID 文件所在位置的写入权限每次启动应用程序时均可破坏主机上的一个文件。总结Spring Boot 版本日新月异我们在享受技术红利的同时也要注意安全漏洞带来的潜在威胁。这次官方给的处理方式很明确升级到对应修复版本即可。如果你已经在 4.0.x不要犹豫直接安排 4.0.6如果还在 3.5.x也尽快跟到 3.5.14。Spring Boot 小版本更新看起来不起眼但安全修复就是这样平时没感觉真出事很可能就 P0 级故障了损失可严重了。。所以赶紧看看自己的 Spring Boot 版本吧。最后相信过不了太久Spring Boot 4.1.0 正式版就要发布了R哥到时会同步更新大家可以关注一下。