Java има 9.1 разделена вратичка, CVE-2026-91403, но аз огледах бюлетина на Оракул и намерих две големи дупки.
Първо, заключението е, че:CVE-2026-91403 е вярно, CVS 3.1 победи 9.1 и наистина сериозно. Но не е в бюлетина на CPU за този сезон и няма "кодиране" за 9.1 минути.Ако не разбереш всичко, ще объркаш ритъма и реда.
Тази дупка е преминала от Оракул на 21 октомври 2026 г. Сигнал за сигурност Еднопосочна, нито една от ъпдейта. Компонентите са JSE 8u5111, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1 плюс GraalVM за JDK 17.02.13 и GraalVM EE 21.3.20.
И искам да отбележа, по заглавие, че ще прегледам системата за бюлетини на Оракул и ще намеря две ями, които си струват повече от самата дупка. Защото тези две дупки не са проблем.Всички екипи, работещи по Бюлетина на четворката, ще стъпят върху него.Да.
Не е в процесора.
Това е най-против интуицията. Много хора (включително и мен преди месец) имат по подразбиране на Oracle's Security ритъм: Тримесечен процесор, веднъж през октомври, почистване 1295 петна и всичко свърши.
Но публичното изявление на Оракул всъщност е три басейна:
- Католическата Patsch Update (CPU)- Тримесечна партида, всички заедно.
- Сигнал за сигурностСпешни единични точки, които не са интегрирани в тримесечния ритъм, CVE може да отвори една страница.
- Creative Security Patch Update.
CVE-2026-91403.Втори басейн.Не знам. Прегледах пълния текст на CPU бюлетина -- 1295 нови пластира, от които Java SE беше 55, 49 могат да се използват дистанционно без разрешение --Пълно текстово търсене CVE-2026-91403, 0 попадения.
Какво означава това? Ако потокът на активите ви е "четвърт списък CVE на процесорите, доведете до вратичката, планирайте ремонта," това е вратичка.Никога в списъка ти.Не знам. Не липсва, тръбата не покрива източника.
И Оракул добави специален пасаж към Сигнала за сигурност към ефекта, който сигналът за сигурностОбхващат се само версиите във фазата "Предварителна поддръжка" или "Разширена поддръжка", версия, която не е в цикъла на подкрепа няма да бъде тествана. Преводът е... не ме търси в старата версия.
Между другото, две версии на масите не са готови.
Тази яма беше открита по време на разследването и е още по-тревожна.
В същия октомвриски ритъм Java SE се появи с две напълно различни версии: процесор, състоящ се от 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; сигнал за сигурност, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1
Не е грешка. Две различни актуализации. Помислих си: "Свърших с процесора и не беше същата версия.Най-опасният от тези обстоятелства не е липсата на петна, а фактът, че те са направени безопасни.
II. Pit II: 9.1 минути, но не и RCE
По-лесно е да пропуснеш заглавието.
CVE-2026-91403 вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NОтвори го.
| Размери | Поемане на стойност | В смисъл |
|---|---|---|
| AV Attack Vector | N (Network) | Дистанционен достъп |
| АС сложност на атаката | L (ниско) | Няма нужда от куп предварителни условия. |
| Необходимо е разрешение за PR | N (няма) | Можете да започнете без удостоверяване. |
| UI потребител Interactive | N (няма) | Не е нужно да лъжеш никого за връзката. |
| S Обхват на действие | U (Няма промяна) | Въздействие, ограничено до собствената му безопасна област |
| Поверителност | H (високо) | Достъпни ключови данни |
| I честност | H (високо) | Ключови данни могат да бъдат създадени/изтрити/модифицирани |
| Наличност | N (няма) | Оракулът не показва ефекта на прекъсване на услугата |
Последният ред е ключът.Не.
Оригиналното описание на Оракул е за неоторизирано създаване, изтриване или промяна на правата за достъп, плюс неоторизиран достъп до ключови данни.Изключването на думата отдалечен код не се появява през цялото време.
Не е жаргон. 9.1 Точката е C:H + I:H holded up Но "може да чете промяната" и "може да прилага всеки код." Има две неща, с които да се справим: първото често означава, че повърхността на данните прониква, а второто означава, че цялата машина се променя. Нареждаш ги на дроби и ги поставяш в семантика.
Още един детайл - Оракулът казва дупката.Това може да повлияе на Джава, които товарят и пускат ненадеждни кодове.Типичната сцена е приложението Java Web Start и аплет в пясъчника под кутийката Java. Това е рядка сцена сега, но ако я имате в старата си система, това е друго нещо, защото природата на пясъчника се променя след като се носи.
Освен това, калибрирането на ямата: Oracle ясно заяви своя резултат CVSДа предположим, че потребителите, работещи с Applet или WebStart, имат администраторски права(Windows общи) Когато потребителят не е администратор (често за Solaris, Linux), резултатът от въздействието за поверителност, почтеност и използваемост се намалява от високо на ниско, последвано от голям процент от бенчмарка.Същото CVE може да бъде напълно различно на различни платформи.
Три, една дупка, три слоя.
Двете ями всъщност сочат към същия методологически въпрос:Всички сме подредени в дроби, но никой не нарушава семантиката и източниците.
Първо ниво: система за бюлетини - в която басейнът върви
Това определя дали вашата автоматична тръба може да го получи. CPU, Security Alert, CSP са три различни канала, с различни ритми, покритие и дори URL структури. Само процеса на процесора, естествено пропуска всички спешни единични точки.
Най-неудобният начин да направите това е да получите производителя.CVE към картата на бюлетинаСчитай го за единствения вход, а не за конкретно съобщение. Oracle предоставя своя собствена карта на CVE на Advisory/Alert, която е по-надеждна от всяка страница на процесора.
Второ ниво: семантиката на рейтинга - 9.1 - кои са точките?
CVS е сума на разлагане, а не класация. C:H/I:H/A:N 9.1 и C:H/I:H/A:H, 9.1, приоритетът на обезвреждането трябва да бъде различен . . .
По-практично:Полезно е да се виждат вектори върху точки.AC:L + PR:N + UI:N, взети заедно, означава, че лицето на атаката е напълно отворено, без никакви предварителни условия. Дори с резултат от седем, тази дупка е много по-вероятно да се използва от тези девет точки, които са свързани.
Ниво 3: Верига за доставки - Чия е конструкцията?
Oracle JDK е само един от тях. Можете да стартирате онлайн с дистрибутор на OpenJDK, по поръчка JDK за производител на облак, или трета страна строител, опаковани в контейнер огледало.CVE поправки не са фиксирани, в зависимост от това дали този продавач не постави нагоре по веригата пластир в, и Оракул безкосмено пластир е две неща.
Така че не гледай съобщението на Оракул и виж неговата версия на Oracle JDK -- разбери кой си всъщност. Не става. Безполезно е.
Какво ще правим?
- Първо потвърди версията.Бягай!
java -version, сравни таблицата по-горе. 8u511/ 11, 33 / 17, 02, 21 / 21, 0.13 / 25, 0 / 27, 0.1 Те са засегнати и не са възстановени версии. - Не се абонирайте само за процесора.Интегратира алармата за сигурност и CSPU в наблюдението, използвайки картата CVE-to-Advisory като запис и не разчита на нито една страница.
- Отвори вектора и го сортирай.Най-малкото издърпайте елемента А (присъствие) и не заменяйте думата "9.1" с думата "9.1.."
- Виж това, продавачо.Това е истинският път за поправка.
- Не разчитай на мерки за смекчаване.В това съобщение Оракулът не го даде на света, а кредитните извлечения бяха написани от Нун Кредите - нито от кой го е направил, нито от байпаса. Има само един начин да закърпим това.
Има още един елемент за управление на активи:Запази думата "публичен тип" като поле.CPU и Security Alert трябваше да са различни в отговор на SLA - първото може да мине през тримесечни прозорци, а второто следва спешен процес. В часовника спешният случай се забавя до края на сезона.
V. КОНТЕКСТ НА ЗАКЛЮЧИТЕЛНИЯ РАЗКАЗ
Тази вратичка сама по себе си, 9.1 точки, неоторизиран, мрежов, не-интерактивен, четим, тя трябва да бъде ремонтирана и приоритизирана.
Но това, което ми донесе не беше самата вратичка, но беше...Как се измъкна от погледа ми?: спешен пластир, който не е включен в тримесечния бюлетин, неповторим номер на версията, 9.1 точка без RCE. Трите неща, които се случват в изолация, не са фатални и се събират заедно и казват: "Мислех, че съм приключил, но не съм ги видял."
Дупката не е ужасна. Ужасно е, че нямате място в процеса.
Между другото, обърнете внимание на данните и да ви е по-лесно да се проверите: през тримесечието процесорът разполагаше с общо 1295 нови пластира, Java SE представляваше 55, 49 от които бяха дистанционно неразрешени; CVE-2026-91403 отиде сигнал за сигурност, 21 октомври 2026, Rev 1, който обхващаше само Java SE като продуктова линия.
Ето връзката:Oracle Security нефрит за CVE-2026-91403Не знам. Ако искате да видите текста на рисковата матрица, има линк на страницата с бюлетините.