Большинство Java-разработчиков продолжают использовать Spring, но не следят за сроками его обновления — исследование Axiom JDK

Компания Axiom JDK (АО «Аксиом») представила исследование о том, как российские компании управляют версиями Spring Boot, планируют миграцию и оценивают риски после окончания публичной поддержки. Сегодня международная поддержка Spring недоступна российским заказчикам на стандартных условиях. При этом 55,8% Java-разработчиков не определили срок эксплуатации Spring без публичных обновлений, 61,2% отметили практическую ценность расширенной поддержки, но только 26,9% уже используют или готовы рассматривать ее. Об этом CNews сообщили представители Axiom JDK.

В опросе приняли участие более 300 специалистов в области Java-разработки, 87,8% из которых регулярно используют Spring — самый распространенный фреймворк для разработки Java-приложений в России.

Исследование отражает прежде всего ситуацию в крупном бизнесе и финансовой отрасли: 71,1% участников работают в организациях численностью более 1000 сотрудников, 56,1% представляют финтех. Таким образом, риски окончания поддержки Spring затрагивают не только команды разработки, но и Java-приложения, обеспечивающие ключевые процессы банков, крупных компаний и цифровых сервисов.

Наиболее распространенным поколением остается Spring Boot 3.x: его используют 83,7% участников. Spring Boot 2.x продолжает применять 21,2%, Spring Boot 4.x - 26%. Близкую картину показывает исследование State of Java 2026 компании JUG Ru Group: версии 2.x используют 20,4% опрошенных пользователей Spring, 3.x — 73,1%, 4.x — 24,7%.

Публичные обновления версий Spring Boot выпускаются ограниченное время — для промежуточных веток около 13 месяцев. После завершения этого периода компании должны перейти на новую версию, сопровождать используемую ветку самостоятельно или использовать коммерческую поддержку.

В июне 2026 г. завершился выпуск публичных обновлений для Spring Boot 3.5 — наиболее распространенного поколения среди участников исследования. Международная коммерческая поддержка Spring российским заказчикам на стандартных условиях недоступна после прекращения VMware и Broadcom продаж и сопровождения в России. Поэтому компаниям необходимо самостоятельно обеспечить источник исправлений и план перехода.

Однако исследование показывает, что такой сценарий сформирован не везде. 53,5% участников не знали дату окончания поддержки Spring Boot 3.5, а 55,8% не определили допустимый срок эксплуатации версии без публичных обновлений, включая исправления безопасности.

18,9 % участников сообщили, что работы по переходу на Spring Boot 4 уже выполняются или завершено, для 41% переход пока остается планом. 23,7 % респондентов не приняли решение.

При этом 32,7% участников одновременно используют несколько поколений Spring Boot. Новые приложения могут уже работать на актуальной версии, тогда как действующие системы продолжают использовать 2.x и 3.x. Это увеличивает объем работ по контролю уязвимостей, совместимости и обновлений и не позволяет завершить миграцию одномоментно.

Требования информационной безопасности назвали причиной обновления Java и связанных фреймворков 57,7% участников. Однако инициаторами изменений чаще становятся разработчики (63,5%), тогда как подразделения ИБ и AppSec указали 36,5%. Риск возникает, когда между выявлением уязвимости и внедрением исправления не назначен единый владелец процесса, не установлен срок реакции и не определен источник обновлений.

Результаты согласуются с данными State of Java 2026 по поддержке Spring Boot. По оценке JUG Ru Group, 61,5% разработчиков самостоятельно обновляют зависимости, 34,9% проверяют совместимость, 27% анализируют уязвимости, 23,4% контролируют версии и сроки поддержки, 21,5% исправляют дефекты. Отказ от внешней поддержки не устраняет эти задачи — они переходят внутренним командам и конкурируют за ресурсы с развитием продуктов.

Только 26,9% участников исследования Axiom JDK уже используют или готовы рассматривать коммерческую поддержку Spring Boot. При этом 61,2% отметили хотя бы одну ее практическую ценность. Наиболее востребованы исправления безопасности после окончания публичной поддержки — 29,8%, сопровождение необходимых версий и помощь с миграцией — по 23,4%, закрепленные сроки реакции (SLA) — 20,5%, экспертные консультации — 20,2%. Даже среди участников, которые не рассматривают комплексную коммерческую поддержку, 43,4% готовы использовать ее под конкретные задачи, например, чтобы облегчить работу по поиску исправлений и миграции.

«Spring лежит в основе большого числа приложений крупного бизнеса и финансового сектора. Окончание публичной поддержки становится проблемой в момент появления уязвимости, когда компании срочно требуется проверенное исправление. Если источник обновлений и ответственный за процесс не определены заранее, риски переходят из технической плоскости на уровень реальной работы бизнеса, информационной безопасности и бюджетов — растут затраты и нагрузка на команды разработки. Для каждой промышленной системы необходимо заранее установить срок эксплуатации версии, план миграции и порядок получения исправлений», — отметил Илья Сазонов, директор по продукту Axiom JDK (АО «Аксиом»).