gradle于2026年8月31日推出security subscription服务，为需明确安全修复时限、延长维护周期及提前获知漏洞的企业提供额外保障，不替代原有开源维护政策；其sla承诺严重漏洞7天内修复、高危漏洞30天内修复，并限定版本范围与缺陷严重程度；服务聚焦构建工具在供应链中的安全责任，与依赖校验等开源能力协同互补；截至2026年10月22日，9.8.2和8.14.6仍在开源维护范围内，旧版本可通过订阅获取支持。
2026 年 8 月 31 日，Gradle 官方宣布推出 Gradle Security Subscription。该服务面向需要明确安全修复时限、延长版本维护周期和提前获得漏洞信息的组织。官方表示，订阅服务是在现有开源维护政策之外增加保障，开源项目原有的维护规则不会因此被取消。对升级周期较长的企业而言，这提供了新的安全维护选择。
按照 Gradle 的开源生命周期政策，当前主版本和上一主版本的最新次版本是主要安全维护对象。同一主版本发布新的次版本后，更早的次版本通常不再接收常规修复；更早的主版本也会逐步进入生命周期终点。这意味着，一个工程即使使用的是曾经稳定的正式版本，也不能据此判断该版本仍能持续获得安全补丁。
新订阅服务将修复响应时间纳入服务级别协议。官方公告列出的目标是，严重漏洞在七天内修复，高危漏洞在三十天内修复；针对 Gradle 自身问题和第三方组件问题，时限起算条件有所不同。延长维护也有版本范围和严重程度要求，并非对所有历史版本、全部缺陷提供无限期回补。企业采购时仍需对照具体版本和合同确认覆盖内容。
这项服务关注的是构建工具本身在软件供应链中的位置。构建环境会执行插件和构建逻辑，并生成后续部署的制品，因此仅检查业务代码中的依赖，并不能完全替代对构建工具、Wrapper 和仓库来源的管理。Gradle 已提供依赖校验等开源能力，团队可以为获取的制品建立校验信息，并审查新引入的依赖文件。订阅服务与这些配置措施承担不同职责。
截至 2026 年 10 月 22 日，官方页面将 9.8.2 和 8.14.6 列为仍在开源覆盖范围内的版本，同时展示部分旧版本的订阅支持路径。对能够及时升级的团队，保持受维护版本仍是直接的选择；对因插件、内部平台或发布流程暂时无法升级的团队，则需要明确过渡期间的安全支持来源。此次服务发布使版本选择不仅涉及功能和兼容性，也更直接地关联到维护期限与修复责任。
