Java har et 9.1 split smuthul, CVE- 2026- 91403, men jeg kiggede omkring Oracle bulletin og fandt to store huller.
For det første er konklusionen, at:CVE- 2026- 91403 er sandt, CVSS 3.1 beat 9.1, og faktisk alvorlig. Men det er ikke i denne sæsons CPU bulletin, og der er ingen "kodning" i 9.1 minutter.Hvis du ikke får styr på det hele, får du rytmen og ordren forkert.
Dette hul blev passeret af Oracle den 21. oktober 2026. Sikkerhedsadvarsel Single- pegede, ikke en fra Quarterly Patch Update. Komponenterne er JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, plus GraalVM for JDK 17.02.13 og GraalVM EE 21.3.20.
Og jeg vil gerne påpege, at jeg ved titel, ville gå over Oracle 's bulletin system og finde to grave værd at skrive mere end hullet selv. Fordi disse to grave ikke er problemet.Alle hold, der arbejder på Quarterly Sweeper Bulletin vil træde på det.Ja.
Den er ikke på CPU i dette kvartal.
Det er det mest antiintuitive. Mange mennesker (herunder mig for en måned siden) har en standard på Oracle sikkerhed rytme: Kvartalsvis CPU, en gang i oktober, feje 1295 patches og det er slut.
Men Oracle 's offentlige meddelelse er faktisk tre puljer:
- Katolske Patch opdatering (CPU)- Kvartalsvise partier, alle sammen.
- Sikkerhedsadvarsel- Hastende enkelte prikker, ikke integreret i kvartalsrytmen, en CVE kan åbne en enkelt side.
- Kreativ sikkerhedspatch opdatering- Et plaster mellem de to.
CVE- 2026- 91403.Anden pool.Det ved jeg ikke. Jeg gennemgik hele CPU-bulletin 1295 nye patches, hvoraf Java SE var 55, 49 kunne bruges uden tilladelse.Fuld tekstsøgning CVE- 2026- 91403, 0 hits.
Hvad betyder det? Hvis dit aktiv flow er en "kvartalsvis CVE liste over CPU 'er, føre til smuthul, planlægge reparationer", det er et smuthul.Aldrig på din liste.Det ved jeg ikke. Den mangler ikke, det er røret, der ikke dækker datakilden.
Oracle tilføjede en særlig passage til sikkerhedsalarmen.Kun dække versioner i Premier Support eller Extended Support fase, en version, der ikke er i støttecyklussen vil ikke blive testet. Oversættelse er -- kom ikke efter mig i den gamle version.
Forresten, to versioner af tabellerne er ikke op.
Dette hul blev opdaget under efterforskningen, og er endnu mere alarmerende.
I samme oktober rytme, Java SE udkom med to helt forskellige versioner: CPU, der omfatter 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Sikkerhed Alert, 8.511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Det er ikke en fejl. Det er to forskellige opdateringer. Jeg tænkte, "Jeg er færdig med CPU dette kvartal", og det var ikke den samme version.Den farligste af disse omstændigheder er ikke fraværet af patches, men det faktum, at de er gjort sikre.
II. Pit II: 9.1 minutter, men ikke RCE
Det er mere diskret og lettere at gå glip af titlen.
CVE- 2026- 91403 vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NÅbn den.
| Dimensioner | Tag værdi | Betydning |
|---|---|---|
| AV Attack Vector | N (Netværk) | Fjernadgang |
| AC-angrebets kompleksitet | L (lav) | Der er ingen grund til en masse forudsætninger. |
| PR-tilladelser påkrævet | N (ingen) | Du kan starte uden godkendelse. |
| UI- brugerinteraktiv | N (ingen) | Du behøver ikke lyve for nogen om forbindelsen. |
| S Anvendelsesområde | U (ingen ændring) | Påvirkning begrænset til sit eget sikre domæne |
| C Fortrolighed | H (høj) | Nøgledata tilgængelige |
| I Integritet | H (høj) | Nøgledata kan oprettes / slettes / ændres |
| A Tilgængelighed | N (ingen) | Oracle ikke angive afbrydelse virkninger af tjenesten |
Den sidste linje er nøglen.Ingen.
Oracle 's oprindelige beskrivelse er for uautoriseret oprettelse, sletning eller ændring af adgangsrettigheder, plus uautoriseret adgang til nøgledata.Ordet fjern kode undtagelse ikke vises i hele.
Det er ikke slang. 9.1 Punktet er C: H + I: H holdt op - læsbar, modificeret, destruktiv. Men "kan læse ændringer" og "kan håndhæve enhver kode". Der er to ting at tage fat på: førstnævnte betyder ofte, at dataoverfladen trænger igennem, og sidstnævnte betyder, at hele maskinen skifter. Du rangerer dem i brøker, og du rangerer dem i semantik.
En detalje mere: Oracle siger hullet.Det kan påvirke Java deployeringer, der loader og kører utroværdige koder.Den typiske scene er Java Web Start ansøgning og applet i sandkassen, under Java sandkassen. Det er en sjælden scene nu, men hvis du har det i dit gamle system, er det en anden ting, fordi arten af sandkassen ændrer sig, når den er slidt.
Plus kalibreringen af hullet: Oracle klart sagde sin CVSS scoreAntag at brugere der kører applet eller WebStart har administratorrettigheder(Windows fælles) Når brugeren ikke er administrator (almindelig på Solaris, Linux), reduceres effektpointene for fortrolighed, integritet og brugervenlighed fra høj til lav, efterfulgt af en stor procentdel af benchmarket.Det samme CVE kan være helt anderledes på forskellige platforme.
Tre, et hul, tre lag.
De to grave peger faktisk på det samme metodologiske spørgsmål:Vi er alle sorteret i brøker, men ingen bryder semantikken og kilderne.
Første niveau: bulletin system - i hvilken pulje det går
Dette afgør, om dit automatiske rør kan få det. CPU, Security Alert, CSPU er tre forskellige kanaler, med forskellige rytmer, dækning og endda URL strukturer. Kun CPU-processen, selvfølgelig mangler alle nødpunkter.
Den mindste måde at gøre det på er at få fat i producenten.CVE til opslagskortetBetragt det som den eneste indgang, ikke en specifik meddelelse. Oracle giver sin egen kort over CVE til Advisory / Alert, som er mere pålidelig end nogen CPU side.
Andet niveau: ratingens semantik - 9.1 - hvilke punkter?
CVSS er et nedbrydningsbeløb, ikke en ranking. C: H / I: H / A: N 9.1 og C: H / I: H / A: H: H: H, 9.1, bortskaffelsesprioriteten bør være forskellig - førstnævnte er "datamanipuleret", og sidstnævnte er "tjenester hang op" plus de to første.
Mere praktisk:Det er nyttigt at se vektorer over point.AC: L + PR: N + UI: N, samlet, betyder, at ansigtet af angrebet er helt åben, uden forhåndsbetingelser. Selv med en score på syv, dette hul er langt mere tilbøjelige til at blive brugt end de ni punkter, der er forbundet.
Niveau 3: Forsyningskæde - Hvis konstruktion er det?
Oracle JDK er bare en af dem. Du kan køre online med en distribution builder af OpenJDK, en brugerdefineret JDK for en cloud producent, eller en tredjeparts builder pakket ind i en container spejl.CVE rettelser er ikke fast, afhængigt af om denne sælger ikke sætte opstrøms patch i, og Oracle hårløs patch er to ting.
Se ikke på Oracle 's annoncering og hans Oracle JDK version -- find ud af hvem du virkelig er. Det virker ikke. Det er nytteløst.
Hvad skal vi gøre?
- Bekræft først versionen.Løb!
java -version, sammenligne tabellen ovenfor. 81, 11 / 11, 0, 33 / 17, 0, 21 / 21, 0, 13 / 25, 5 / 27, 1 Disse er påvirket og ikke restaureret versioner. - Tilmeld dig ikke kun CPU.Integrerer sikkerhedsadvarslen og CSPU i overvågningen, ved hjælp af CVE- to- Advisory kort som en indgang og ikke stole på en enkelt side.
- Åbn vektoren og sortere den.I det mindste trækkes A-elementet ud og erstattes ikke af ordet "9.1" med ordet "9.1".
- Se her, sælger.Det er den rigtige vej at reparere.
- Regn ikke med afbødende foranstaltninger.I denne meddelelse gav Oracle den ikke til verden, og krediterklæringerne blev skrevet af Noon Credite -- hverken af hvem der gjorde det, eller af omfartsvejen. Der er kun én måde at lappe det på.
Der er en anden aktie- management element:Gem ordet "pr-type" som et felt.CPU og Security Alert skulle have reageret anderledes på SLA - førstnævnte kan gå gennem kvartalsvise vinduer, og sidstnævnte følger en nødprocedure. I et ur er nødsituationen forsinket til slutningen af sæsonen.
V. SAMMENHÆNG AF DEN AFSLUTTENDE ERKLÆRING
Dette smuthul i sig selv, 9.1 point, uautoriseret, netbrugbar, ikke-interaktiv, læsbar - det bør repareres og prioriteres.
Men det, det bragte mig, var ikke smuthullet, men det var...Hvordan slap jeg for det?: et nødplaster, der ikke er med i kvartalsoversigten, et uovertruffen versionsnummer, et 9,1 point uden RCE. De tre ting, der sker i isolation er ikke fatale, og de kommer sammen, og de siger: "Jeg troede, jeg var færdig, men jeg så dem ikke".
smuthullet er ikke forfærdeligt, det er forfærdeligt, at du ikke har nogen plads i din proces.
Forresten, tage en note af data og gøre det lettere for dig at kontrollere dig selv: i løbet af kvartalet, CPU havde i alt 1295 nye patches, Java SE tegnede sig for 55, hvoraf 49 var fjerntliggende uautoriseret; CVE- 2026- 91403 gik Security Alert, 21 oktober 2026, Rev 1, som kun dækkede Java SE som en produktlinje.
Her er linket:Oracle Security Alert - CVE- 2026- 91403Det ved jeg ikke. Hvis du ønsker at se teksten af risk-by-risiko matrix, der er et link på bulletin side.