Broadcom 10 月 27 日宣布 TrueSource Spring Enterprise 的安全與修補流程更新，推出 TrueSource Hub 與 Spring Application Advisor 建置插件，協助企業將開源元件風險盤點、漏洞修補優先順序、程式碼更新與稽核證據串接在同一流程。官方表示新工具已正式提供，TrueSource 系列則採分級站點授權。
TrueSource Hub 可連結企業程式碼儲存庫，辨識各應用程式依賴的開源套件、版本、支援狀態、曝險程度與修補進度，涵蓋 Java、Python、JavaScript 函式庫、容器映像及資料服務。管理者可從持續更新的視圖，辨識需要優先修補的應用程式，而非只依一次性的軟體物料清單或掃描報告作決策。Broadcom 表示也與 Snyk 合作，讓弱點掃描工具正確認得已由 Broadcom 修補的 Spring 版本，降低不必要的重複警示。
在修補部署端，Spring Application Advisor 插件可整合 Maven 與 Gradle 建置程序，依經過驗證的規則產生套件升級或修補 Pull Request，交由開發團隊審查與合併。公告也提到 JFrog Zero-Touch Remediation 整合，可把經驗證、維持相容性的修補內容導入建置流程。每次建置會記錄程式來源與所含函式庫，協助資安團隊向管理層提出實際修補狀態。
Broadcom 強調由熟悉 Spring 的工程師驗證修補內容，並針對受支援的不同版本線提供同步修補或僅包含安全修正的套件，減少企業為單一 CVE 被迫全面升級的成本。其產品組合還包括 TrueSource Trusted Artifacts、Secure Images，以及支援 PostgreSQL、MySQL、Valkey、RabbitMQ 的 TrueSource Data Services。
這份官方新聞稿有值得審稿人留意的數字不一致：標題與開頭稱本次新增 89 個漏洞修補、全年累計 408 個；內文另一處則稱 406 個新漏洞、超過 1,090 個修補項目，其中 798 個為回溯修補；可用性段落又寫本次有 87 個修補可供合格客戶提前取得。官方另列舉先前處理的 Spring CVE-2026-41855（CVSS 8.1）、Netty 依賴 CVE-2026-47691（CVSS 10.0）與 RabbitMQ CVE-2026-67404（CVSS 9.2）。這些統計口徑或文字矛盾不能擅自合併成單一確定數字。
新發現弱點的詳細內容會在修補公開與 CVE 發布後逐步揭露；合格關鍵基礎設施與提前存取客戶可先取得部分修補。對一般使用者而言，正式提供產品不代表所有新弱點已公開，也不代表未訂閱企業方案的每個開源版本已取得同樣的提前修補。
發生了什麼事
Broadcom 為 TrueSource Spring Enterprise 加入 Hub 安全狀態儀表板與 Application Advisor 建置插件，協助盤點漏洞、排定修補優先順序、建立修補 PR 並記錄部署結果。
為什麼重要
企業安全風險不只在於發現漏洞，更在於能否把經驗證的修補實際部署至每個受影響應用。持續盤點與建置流程整合可降低從公告到修補落地的時間差。
影響哪些人
使用 Spring、Maven、Gradle 的開發團隊、維運與資安工程師，以及採用 TrueSource 商業授權、需要追蹤開源供應鏈與稽核證據的企業最直接受影響。
已確認與未確認
已確認產品功能、正式提供狀態及提前修補適用對象；官方新聞稿對本次與全年修補數字出現 89／87、408／406 等差異，需 Broadcom 進一步澄清。價格與完整 CVE 明細未列出。
