Java má rozštěpenou mezeru 9.1, CVE- 2026-91403, ale rozhlédl jsem se kolem Oracle bulletin a našel dvě velké díry.
Za prvé, závěr je, že:CVE- 2026- 91403 je pravda, CVSS 3.1 porazil 9.1, a skutečně vážné. Ale to není v této sezóně CPU bulletin, a není žádné "kódování" za 9.1 minuty.Jestli to všechno nevyřešíš, tak se tvůj rytmus a pořadí popletou.
Tato díra prošla Oracle 21. října2026. Bezpečnostní upozornění Jednobodový, ne jeden z čtvrtletní Patch Update. Součásti jsou JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, plus GraalVM pro JDK 17.02.13 a GraalVM EE 21.3.20.
A rád bych poukázal na to, že bych prošel Oracleův zpravodajský systém a našel dvě jámy, které stojí za to napsat víc než samotná díra. Protože tyhle dvě jámy nejsou problém.Všechny týmy pracující na čtvrtletním Věstníku na to šlápnou.Jo.
V tomto čtvrtletí to není v CPU.
Tohle je nejvíce antiintuitivní. Mnoho lidí (včetně mě před měsícem) mají výchozí na Oracle je bezpečnostní rytmus: Čtvrtletní CPU, jednou v říjnu, zamést 1295 záplaty a je konec.
Ale Oracle veřejné oznámení je ve skutečnosti tři bazény:
- Katolická aktualizace Patch (CPU)- Čtvrtletní dávky, všechny dohromady.
- Bezpečnostní upozornění- Naléhavé jednotlivé tečky, které nejsou začleněny do čtvrtletního rytmu, CVE může otevřít jednu stránku.
- Creative Security Patch Aktualizace- Náplast mezi oběma.
CVE- 2026-91403.Druhý bazén.Nevím. Prošel jsem celý text CPU bulletinu - 1295 nových náplastí, z nichž Java SE bylo 55, 49 mohlo být použito na dálku bez povolení --Kompletní vyhledávání textu CVE- 2026-91403, 0 hitů.
Co to znamená? Pokud váš tok aktiv je "čtvrtletní seznam CVE procesorů, vést k mezery, naplánovat opravy," je to mezera.Nikdy na tvém seznamu.Nevím. Nechybí, je to trubka, která nepokrývá zdroj dat.
A Oracle přidal zvláštní pasáž do bezpečnostního poplachu v tom smyslu, že záplaty bezpečnostního poplachuZahrnout pouze verze ve fázi Premier Support nebo Extended Support, Verze, která není v podpůrném cyklu nebude testována. Překlad je -- nehledej mě ve staré verzi.
Mimochodem, dvě verze stolů nejsou nahoře.
Tato jáma byla objevena během vyšetřování a je ještě znepokojivější.
Ve stejném říjnovém rytmu se Java SE objevila se dvěma úplně odlišnými verzemi: CPU, zahrnující 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Bezpečnostní upozornění, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Není to chyba. Jsou to dvě různé novinky. Pomyslel jsem si, "V tomhle čtvrtletí jsem skončil s procesorem" a nebyla to ta samá verze.Nejnebezpečnější z těchto okolností není absence náplastí, ale skutečnost, že jsou bezpečné.
II. Pit II: 9.1 minut, ale ne RCE
Je to jemnější a snadnější, než prošvihnout titul.
CVE- 2026-91403 vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NOtevři to.
| Rozměry | Převzít hodnotu | Význam |
|---|---|---|
| AV útočný vektor | N (síť) | Vzdálený přístup |
| Spletitost útoku AC | L (nízká) | Není třeba mít spoustu předpokladů. |
| Vyžadovaná PR oprávnění | N (žádné) | Můžete začít bez ověření. |
| Name | N (žádné) | Nemusíš nikomu lhát o tom spojení. |
| S Oblast působnosti | U (beze změny) | Dopad omezený na vlastní bezpečnou oblast |
| C Důvěrnost | H (vysoká) | Přístupné klíčové údaje |
| I Integrity | H (vysoká) | Klíčové údaje lze vytvořit / smazat / změnit |
| Dostupnost | N (žádné) | Orákulum nenaznačilo narušení provozu |
Poslední řádek je klíč.Žádné.
Originální popis Oracle je pro neoprávněné vytvoření, vymazání nebo změnu přístupových práv, plus neoprávněný přístup k klíčovým datům.Slovo výjimka vzdáleného kódu se neobjevuje v celém rozsahu.
Není to slang. 9.1 Pointa je C: H + I: H zavěšen - čitelný, upravený, destruktivní. Ale "umí číst změny" a "dokáže prosadit jakýkoliv kód." Existují dvě věci, které je třeba řešit: první často znamená, že povrch dat proniká, a druhý znamená, že se celý stroj pohybuje. Pořadíš je ve zlomcích a v sémantice.
Ještě jeden detail: Orákulum říká díra.Mohlo by to ovlivnit Java nasazení, které načíst a spustit nedůvěryhodné kódy.Typickou scénou je aplikace Java Web Start a applet v pískovišti pod pískovištěm Java. Teď je to vzácná scéna, ale pokud to máte ve svém starém systému, je to jiná věc, protože povaha pískoviště se změní, jakmile se to nosí.
Navíc, kalibrace jámy: Oracle jasně řekl jeho CVSS skórePředpokládejme, že uživatelé běží applet nebo WebStart mají administrátorská práva(Časté Windows) Není-li uživatel administrátorem (běžný na Solaris, Linux), sníží se skóre dopadu na důvěrnost, integritu a použitelnost z Vysokého na Nízké, po němž následuje velké procento referenční hodnoty.Stejný CVE může být úplně jiný na různých platformách.
Tři, jedna díra, tři vrstvy.
Obě jámy skutečně poukazují na stejnou metodickou otázku:Všichni jsme roztříděni do zlomků, ale nikdo nerozbíjí sémantiku a zdroje.
První úroveň: bulletin systém - do kterého bazénu jde
To určuje, zda ji vaše automatická trubka může získat. CPU, Security Alert, CSPU jsou tři různé kanály, s různými rytmy, pokrytí a dokonce i URL struktury. Jen proces CPU, přirozeně chybí všechny nouzové jednotlivé body.
Nejméně vhodný způsob, jak to udělat, je získat výrobce.CVE na bulletinuPovažujte to za jediný vstup, ne konkrétní oznámení. Oracle poskytuje vlastní mapu CVE pro Advisory / Alert, která je spolehlivější než jakákoli stránka CPU.
Druhá úroveň: sémantika ratingu - 9.1 - jaké jsou body?
CVSS je rozklad, ne pořadí. C: H / I: H / A: N 9.1 a C: H / I: H / A: H: H: H, 9.1, priorita likvidace by měla být odlišná - první je "manipulace s daty" a druhá je "služba zavěšena" plus první dvě.
Praktičtější:Je užitečné vidět vektory nad body.AC: L + PR: N + UI: N, společně znamená, že tvář útoku je zcela otevřená, bez jakýchkoli předpokladů. I s skóre sedm, tato díra je mnohem pravděpodobnější, že budou použity než těch devět bodů, které jsou spojeny.
Úroveň 3: dodavatelský řetězec - Čí je to konstrukce?
Oracle JDK je jedním z nich. Můžete spustit on-line s distribučním stavitelem OpenJDK, vlastní JDK pro výrobce cloudu, nebo třetí strana stavitel zabalený do kontejneru zrcadlo.CVE opravy nejsou pevné, v závislosti na tom, zda ten prodejce nedal proti proudu náplast, a Oracle vlasy náplast je dvě věci.
Takže se nedívejte na Oracle oznámení a podívejte se na jeho verzi Oracle JDK -- zjistit, kdo opravdu jste. Nefunguje to. Je to k ničemu.
Co budeme dělat?
- Nejdřív potvrďte verzi.Utíkej!
java -versionPorovnejte tabulku nahoře. 8u511 / 11, 0, 33 / 17, 0, 21 / 21, 0, 13 / 25, 5 / 27, 0 Tyto verze jsou ovlivněny a neobnoveny. - Nepřihlašujte se pouze na CPU.Integrace bezpečnostního poplachu a CSPU do sledování, pomocí CVE- to- Poradní mapa jako vstup a nespoléhá na jedinou stránku.
- Otevřete vektor a seřaďte ho.Vytáhněte alespoň položku A (dostupnost) a nenahraďte slovo "9.1" slovem "9.1".
- Koukni na to, prodavači.To je skutečná cesta k nápravě.
- Nespoléhejte na zmírňující opatření.V tomto oznámení to Oracle nedal světu, a výpisy z úvěrů napsal Noon Credite - ani kdo to udělal, ani bypass. Je jen jeden způsob, jak to napravit.
Je tu další položka Asset- management:Schovej si slovo "reklamní typ" jako pole.CPU a bezpečnostní poplach by měly být odlišné v reakci na SLA - první může jít přes čtvrtletní okna a druhý následuje nouzový proces. V hodinkách je pohotovost odložena na konec sezóny.
V. KONTEXT ZÁVĚREČNÉHO VÝKAZU
Tato skulina sama o sobě, 9.1 bodů, nepovolené, síťovatelné, neinteraktivní, čitelné - měla by být opravena a upřednostněna.
Ale to, co mi to přineslo, nebyla skulina sama o sobě, ale byla to...Jak se mi to dostalo z očí?: nouzová náplast nezahrnutá ve čtvrtletním bulletinu, neodpovídající číslo verze, 9.1 bod bez RCE. Tři věci, které se odehrávají v izolaci, nejsou smrtelné. Scházejí se a říkají: "Myslel jsem, že jsem skončil, ale neviděl jsem je."
Ta skulina není hrozná, je hrozné, že nemáš ve svém procesu místo.
Mimochodem, vezměte si na vědomí údaje a usnadněte vám zkontrolovat sami: během čtvrtletí, CPU měl celkem 1295 nových náplastí, Java SE činil 55, 49 z nich bylo vzdáleně nepovolené; CVE- 2026-91403 šel bezpečnostní poplach, 21. října 2026, Rev 1, která zahrnovala pouze Java SE jako produktovou řadu.
Tady je odkaz:Oracle Security Alert - CVE-2026-91403Nevím. Pokud chcete vidět text matice rizik, je tam odkaz na stránku.