جافا لديها 9.1 ثغرة مقسمة، CVE-2026-91403، ولكن نظرت حول نشرة الأوراكل ووجدت حفرتين كبيرتين.

أولا، النتيجة هي:CVE-2026-91403 is true, CVSS 3.1 beat 9.1, and indeed serious. لكنه ليس في نشرة وحدة تحليل السلوك في هذا الموسم، وليس هناك "التزين" في 9.1 دقيقة.إذا لم تكتشف كل شيء، ستحصل على الإيقاع والأمر الخطأ.

هذه الحفرة مرت من قبل أوراكل في 21 أكتوبر 2026 إنذار أمني مُحَدَّد، لَيسَ a واحد مِنْ المستجداتِ الفصليةِ. The components are JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, plus GraalVM for JDK 17.02.13 and GraalVM EE 21.3.20.

وأود أن أشير، عن طريق العنوان، أنني سأراجع نظام نشرات أوراكل وأجد حفرتين تستحق الكتابة أكثر من الحفرة نفسها. لأن هاتين الحفرتين ليستا المشكلةكل الفرق التي تعمل على نشرة (سويبر) الفصلية ستتقدم عليهانعم

ليس في وحدة العناية المركزة هذا الربع

هذا هو الأكثر مضادة للدواء. العديد من الناس (بمن فيهم أنا قبل شهر) لديهم نقص في الإيقاع الأمني لـ(أوراكل) وحدة العناية المركزة الفصلية ذات مرة في أكتوبر

لكن إعلان (أوراكل) العام هو في الواقع ثلاثة مجمعات:

• Catholic Patch Update (CPU)-بطاريات ربعية، معاً
• إنذار أمني- نقاط واحدة عاجلة، غير مدمجة في الإيقاع الفصلي، يمكن أن تفتح لجنة التحقق صفحة واحدة.
• المستجدات الأمنية المبتكرة- رقعة بين الاثنين

CVE-2026-91403.حمام السباحة الثانيلا أعلم راجعت النص الكامل لنشرة وحدة مكافحة الإرهاب - 1295 رقعة جديدة، منها جافا ساي 55، 49 يمكن استخدامها عن بعد بدون إذنبحث كامل في النص CVE-2026-91403، صفر ضربات.

ماذا يعني ذلك؟ إذا كان تدفق الأصول الخاص بك هو "القائمة الربعية من وحدة الإنقاذ، تؤدي إلى الثغرة، جدولة الإصلاحات، " هو ثغرة.أبدا على قائمتك.لا أعلم إنه ليس مفقوداً إنه الأنبوب الذي لا يغطي مصدر البيانات

و(أوراكل) أضاف مقطعاً خاصاً إلى إنذار الأمنلا تشمل سوى النسخ في مرحلة تقديم الدعم أو الدعم الموسع- لن يتم اختبار نسخة غير موجودة في دورة الدعم. الترجمة هي لا تأتي للبحث عني في النسخة القديمة

بالمناسبة، نسختان من الطاولات لم تكتملا

وقد اكتشفت هذه الحفرة أثناء التحقيق، بل إنها أكثر إثارة للقلق.

In the same October rhythm, Java SE appeared with two completely different versions: CPU, comprising 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8,51 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.

هذا ليس خطأ إنه تحديثان مختلفان فكرت، "لقد إنتهيت من وحدة العناية المركزة هذا الربع" ولم تكن نفس النسخةوأخطر هذه الظروف ليس عدم وجود رقائق، ولكن كونها آمنة.

II. Pit II: 9.1 minutes, but not RCE

من السهل أن تفوت العنوان

CVE-2026-91403 vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nافتحه

الأبعاد	خذ فالي	معنى
AV Attack Vector	N (Network)	الوصول عن بعد
AC complexity of attack	L (low)	ليس هناك حاجة لمجموعة من الشروط المسبقة
الانبعاثات المطلوبة	N (none)	يمكنك البدء من دون التوثيق
المستعمل التفاعلي	N (none)	ليس عليك أن تكذب على أي شخص حول الرابط
نطاق العمل	U (No change)	الأثر المقتصر على نطاقه الآمن
السرية	H (High)	البيانات الرئيسية المتاحة
النزاهة	H (High)	يمكن استحداث/حذف/تعديل البيانات الرئيسية
Availability	N (none)	لم تبين شركة أوراكل آثار تعطيل الخدمة

الخط الأخير هو المفتاحلا أحد

وصف أوراكل الأصلي هو لخلق غير مأذون به، حذف أو تعديل حقوق الدخول، بالإضافة إلى الوصول غير المأذون به إلى البيانات الرئيسية.كلمة الاستثناء من الرمز عن بعد لا تظهر في جميع أنحاء.

انها ليست سائلة ٩-١ النقطة هي: C:H + I:H held up - readable, modified, destructive. لكن "يُمكن قراءة التغيير" و "يُمكن إنفاذ أيّ رمز." وهناك أمران يتعين التعامل بهما: فالأول يعني في كثير من الأحيان أن سطح البيانات يخترق، وهذا يعني أن الآلة كلها تتحول. أنت تصنفهم في أجزاء، وأنت تصنفهم في الرطوبة.

تفاصيل أخرى: "أوراكل" يقول الثقبيمكن أن يؤثر على نشر (جافا) الذي يحمّل ويدير رموزاً غير جديرة بالثقةالمشهد المثالي هو تطبيق (جافا ويب) و التفاح في صندوق الرمل، تحت صندوق رمل جافا إنّه مشهد نادر الآن، لكن إن كان لديك في نظامك القديم، فإنّه أمر آخر لأنّ طبيعة صندوق الرمل تتغير حالما تلبس.

بالإضافة إلى معايرة الحفرة (أوراكل) قالت بوضوح أن سجلها في الـ (CVSS)افترض ان المستعملين الذين يديرون التفاح او ويب ستارت لديهم امتيازات ادارية(Windows common) وعندما لا يكون المستعمل مديراً (مشتركاً في سولاريز، لينوكس)، تخفض نسبة الأثر على السرية والنزاهة والقابلية للاستعمال من درجة عالية إلى منخفضة، تليها نسبة مئوية كبيرة من المعيار المرجعي.نفس الـ (سي في) يمكن أن يكون مختلفاً تماماً على منابر مختلفة

ثلاثة، حفرة واحدة، ثلاثة طبقات

ويشير المحوران في الواقع إلى نفس المسألة المنهجية:نحن جميعا فرز في أجزاء، ولكن لا أحد كسر الدلالات والمصادر.

المستوى الأول: نظام النشرات - الذي يذهب فيه المجمع

هذا يحدد ما إذا كان أنبوبك الآلي يمكن أن يحصل عليه. وتعد وحدة منع الحمل، والتنبيه الأمني، ووحدة دعم البرامجيات، ثلاث قنوات مختلفة، لها إيقاعات مختلفة، وتغطية، بل وحتى هياكل الاتحاد الثوري. فقط عملية وحدة العناية المركزة، من الطبيعي أن تفوت كل نقاط الطوارئ

أقل طريقة ملائمة للقيام بذلك هي الحصول على الصانعCVE إلى خريطة النشرةاعتبره المدخل الوحيد وليس إعلاناً محدداً وتقدم شركة أوراكل خريطة خاصة بها للشركة الاستشارية/الإنذار، وهي أكثر موثوقية من أي صفحة من صفحة الوحدة.

Second level: the semantics of the rating - 9.1 - which are the points?

CVSS هو مبلغ شطب وليس ترتيب. C:H/I:H/A:N 9.1 and C:H/I:H/A:H:H, 9.1, the disposal priority should be different — the former being “data tampered” and the latter being “services hung up” plus the first two.

أكثر عملية:من المفيد رؤية النواقل على النقاطAC:L + PR:N + UI:N, taken together, means that the face of the attack is completely open, without any preconditions. وحتى بنتيجة سبعة، من المرجح أن تستخدم هذه الحفرة أكثر بكثير من النقاط التسعة المرتبطة بها.

المستوى 3: سلسلة الإمداد - من هو البناء؟

(أوراكل جي دي كي) واحد منهم يمكنك تشغيل على الإنترنت مع بناة توزيع لـ (أوبن جي دي كي)، وعادة (جي دي كي) لصانع سحابة، أو مبني ثالث موضّح في مرآة حاوية.لا تصلح مواصفات الـ(سي في) حسب ما إذا كان ذلك البائع لم يضع رقعة التيار في و رقعة (أوراكل) المشعرة شيئين

لذا لا تنظري إلى إعلان (أوراكل) وتنظري إلى نسخة (أوراكل جي دي كي) إنه لا يعمل لا فائدة منه

ماذا يجب أن نفعل؟

1. تأكد من النسخة أولاًاركض! java -versionمقارنة الطاولة أعلاه 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 وهذه نسخ متأثرة وغير مستعادة.
2. لا تنضم فقط إلى وحدة دعم البرامج.يدمج التنبيه الأمني ووحدة الاتصالات السلكية واللاسلكية في المراقبة، ويستخدمان خريطة الإنقاذ إلى الاستشارة كمدخل ولا يعتمدان على صفحة واحدة.
3. افتحي جهاز التحكم واصلحيهعلى الأقل اسحبي بند (التوافر) وليس استبدال كلمة "9.1" بكلمة "9.1"
4. تحقق من ذلك، البائع.هذا هو الطريق الحقيقي للإصلاح.
5. لا تعتمد على تدابير التخفيففي هذا الإعلانِ، أوراكل لَمْ يَعطيه إلى العالمِ، وإفادات الإئتمان كَتبتْ مِن قِبل نون دَين - لا مِن قِبل مَنْ عَمِلَه، ولا من قبل التفاف. هناك طريقة واحدة فقط لإصلاح هذا.

هناك بند آخر لإدارة الأصول:وفر كلمة "نوع الدعاية" كميدانوكان ينبغي أن يكون كل من وحدة الشرطة المدنية والتنبيه الأمني مختلفين في الاستجابة إلى جيش تحرير السودان - ويمكن للوحدة أن تمر من خلال النوافذ الفصلية ويتبع الأخير عملية طوارئ. وفي ساعة، تتأخر حالة الطوارئ حتى نهاية الموسم.

خامسا - مضمون البيان الختامي

وهذه الثغرة نفسها، ٩,١ نقطة، غير مأذون بها، قابلة للربط الشبكي، غير قابلة للقراءة - ينبغي إصلاحها وتحديد أولوياتها.

ولكن ما جلبني لم يكن الثغرة نفسها، ولكن كان...كيف خرجت عن ناظري؟: A emergency patch not included in the quarterly bulletin, an unmatched version number, a 9.1 point without RCE. الأشياء الثلاثة التي تحدث في العزلة ليست قاتلة، وهي تأتي معاً، "ظننت أنني إنتهيت، لكنني لم أرهم".

الثغرة ليست فظيعة، ومن الرهيب أن لديك أي مكان في عملية الخاص بك.

وبالمناسبة، أحيط علما بالبيانات وجعل من الأسهل بالنسبة لك أن تفحص نفسك: ففي الربع، كان لدى الوحدة ما مجموعه ١٢٩٥ رقعة جديدة، استأثرت جافا سي ب ٥٥، منها ٤٩ غير مأذون بها عن بعد؛ وذهبت CVE-2026-91403 إنذارا أمنيا، ٢١ تشرين الأول/أكتوبر ٢٠٢٦، التنقيح ١، الذي شمل جافا سو كخط منتج فقط.

ها هو الرابطإنذار أمن الأورام - CVE-2026-91403لا أعلم إذا كنت تريد أن ترى نص مصفوفة المخاطرة، هناك صلة على صفحة النشرة.