Java hat eine 9.1 geteilte Lücke, CVE-2026-91403, aber ich habe mich im Oracle-Bulletin umgesehen und zwei große Löcher gefunden.
Erstens:CVE-2026-91403 ist wahr, CVSS 3.1 Beat 9.1, und in der Tat ernst. Aber es ist nicht im CPU-Bulletin dieser Saison, und es gibt keine "Codierung" in 9,1 Minuten.Wenn Sie nicht alles herausfinden, erhalten Sie den Rhythmus und die Reihenfolge falsch.
Dieses Loch wurde von Oracle am 21. Oktober 2026 passiert. Sicherheitswarnung Single-pointed, nicht eine aus dem Quarterly Patch Update. Die Komponenten sind JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1 plus GraalVM für JDK 17.02.13 und GraalVM EE 21.3.20.
Und ich möchte mit dem Titel darauf hinweisen, dass ich das Bulletin-System von Oracle durchgehen und zwei Gruben finden würde, die es wert sind, mehr zu schreiben als das Loch selbst. Denn diese beiden Gruben sind nicht das Problem.Alle Teams, die am Quarterly Sweeper Bulletin arbeiten, werden darauf treten.Ja.
I. Pit One: Es ist nicht in der CPU in diesem Quartal.
Dies ist die anti-intuitivste. Viele Leute (einschließlich mir vor einem Monat) haben einen Standard im Sicherheitsrhythmus von Oracle: Vierteljährliche CPU, einmal im Oktober, fegen 1295 Patches und es ist vorbei.
Die öffentliche Ankündigung von Oracle besteht jedoch aus drei Pools:
- Katholisches Patch Update (CPU)- Vierteljährliche Chargen, alle zusammen.
- Sicherheitswarnung- Dringende einzelne Punkte, die nicht in den vierteljährlichen Rhythmus integriert sind, könnte ein CVE eine einzelne Seite öffnen.
- Creative Security Patch UpdateEin Patch zwischen den beiden.
CVE-2026-91403.Zweiter Pool.Ich weiß es nicht. Ich ging den Volltext des CPU-Bulletins durch - 1295 neue Patches, von denen Java SE 55, 49 war, konnten aus der Ferne ohne Autorisierung verwendet werden -Volltextsuche CVE-2026-91403, 0 Treffer.
Was bedeutet das? Wenn Ihr Asset-Flow eine "vierteljährliche CVE-Liste von CPUs ist, führen Sie zu der Lücke, planen Sie die Reparaturen", ist es eine Lücke.Niemals auf deiner Liste.Ich weiß es nicht. Es fehlt nicht, es ist das Rohr, das die Datenquelle nicht abdeckt.
Und Oracle hat eine spezielle Passage zum Security Alert hinzugefügt, die besagt, dass die Patches von Security AlertNur Coverversionen in der Phase Premier Support oder Extended SupportEine Version, die sich nicht im Support-Zyklus befindet, wird nicht getestet. Übersetzung ist - kommen Sie nicht auf der Suche nach mir in der alten Version.
Übrigens sind zwei Versionen der Tabellen nicht verfügbar.
Diese Grube wurde während der Untersuchung entdeckt und ist noch alarmierender.
Im gleichen Oktoberrhythmus erschien Java SE mit zwei völlig unterschiedlichen Versionen: CPU, bestehend aus 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Es ist kein Fehler. Es sind zwei verschiedene Updates. Ich dachte: "Ich bin in diesem Quartal mit der CPU fertig", und es war nicht die gleiche Version.Der gefährlichste dieser Umstände ist nicht das Fehlen von Patches, sondern die Tatsache, dass sie sicher gemacht werden.
II. Pit II: 9,1 Minuten, aber nicht RCE
Es ist subtiler und leichter, den Titel zu verpassen.
CVE-2026-91403 Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NÖffnen Sie es.
| Abmessungen | Take Value | Bedeutung |
|---|---|---|
| AV Angriffsvektor | N (Netz) | Fernzugriff |
| AC Komplexität des Angriffs | L (niedrig) | Es gibt keine Notwendigkeit für eine Reihe von Voraussetzungen. |
| PR-Berechtigungen erforderlich | N (keine) | Sie können ohne Authentifizierung starten. |
| UI Benutzer Interaktiv | N (keine) | Sie müssen niemanden über den Link belügen. |
| S Anwendungsbereich | U (keine Änderung) | Auswirkungen auf die eigene sichere Domain beschränkt |
| C Vertraulichkeit | H (hoch) | Zugängliche Schlüsseldaten |
| I Integrität | H (hoch) | Schlüsseldaten können erstellt / gelöscht / geändert werden |
| A Verfügbarkeit | N (keine) | Oracle hat die Störungseffekte des Dienstes nicht angegeben |
Die letzte Zeile ist der Schlüssel.Keine.
Die ursprüngliche Beschreibung von Oracle bezieht sich auf unbefugtes Erstellen, Löschen oder Ändern von Zugriffsrechten sowie unbefugten Zugriff auf Schlüsseldaten.Das Wort Remote-Code-Ausnahme erscheint nicht überall.
Es ist kein Slang. 9.1 Der Punkt ist C:H + I:H hochgehalten - lesbar, modifiziert, destruktiv. Aber "kann Änderungen lesen" und "kann jeden Code erzwingen". Es gibt zwei Dinge zu behandeln: Ersteres bedeutet oft, dass die Datenoberfläche durchdringt, und letzteres bedeutet, dass sich die gesamte Maschine verändert. Sie ordnen sie in Brüchen, und Sie ordnen sie in Semantik.
Noch ein Detail: Oracle sagt das Loch.Es könnte Java-Bereitstellungen beeinflussen, die nicht vertrauenswürdige Codes laden und ausführen.Die typische Szene ist die Java Web Start Anwendung und Applet in der Sandbox, unter der Java Sandbox. Es ist jetzt eine seltene Szene, aber wenn Sie es in Ihrem alten System haben, ist es eine andere Sache, weil sich die Natur der Sandbox ändert, sobald sie getragen wird.
Plus, die Kalibrierung der Box: Oracle hat eindeutig seinen CVSS-Score angegebenAngenommen, Benutzer, die Applet oder WebStart ausführen, haben Administratorrechte(Windows gemeinsam) Wenn der Benutzer kein Administrator ist (üblich bei Solaris, Linux), wird der Impact-Score für Vertraulichkeit, Integrität und Benutzerfreundlichkeit von hoch auf niedrig reduziert, gefolgt von einem großen Prozentsatz des Benchmarks.Der gleiche CVE kann auf verschiedenen Plattformen völlig unterschiedlich sein.
Drei, ein Loch, drei Schichten.
Die beiden Boxen weisen tatsächlich auf das gleiche methodische Problem hin:Wir sind alle in Brüchen sortiert, aber niemand bricht die Semantik und die Quellen.
Erste Ebene: Bulletin-System - in welchen Pool es geht
Dies bestimmt, ob Ihr automatisiertes Rohr es bekommen kann. CPU, Security Alert, CSPU sind drei verschiedene Kanäle mit unterschiedlichen Rhythmen, Abdeckung und sogar URL-Strukturen. Nur der CPU-Prozess, natürlich fehlen alle Notfall-Single-Points.
Der am wenigsten bequeme Weg, dies zu tun, ist, den Hersteller zu bekommen.CVE zur Bulletin MapBetrachten Sie es als den einzigen Eingang, keine spezifische Ankündigung. Oracle bietet eine eigene Karte von CVE zu Advisory / Alarm, die zuverlässiger ist als jede CPU-Seite.
Zweite Ebene: die Semantik des Ratings - 9.1 - was sind die Punkte?
CVSS ist ein Zerlegungsbetrag, kein Ranking. C:H/I:H/A:N 9.1 und C:H/I:H/A:H:H, 9.1, sollte die Entsorgungspriorität unterschiedlich sein - ersteres sollte "Daten manipuliert" und letzteres "aufgehängte Dienste" plus die ersten beiden sein.
Praktischer:Es ist nützlich, Vektoren über Punkte zu sehen.AC:L + PR:N + UI:N bedeutet zusammengenommen, dass das Gesicht des Angriffs völlig offen ist, ohne Vorbedingungen. Selbst mit einer Punktzahl von sieben wird dieses Loch viel wahrscheinlicher verwendet als die neun Punkte, die miteinander verknüpft sind.
Level 3: Supply Chain - Wessen Konstruktion ist das?
Oracle JDK ist nur einer von ihnen. Sie können online mit einem Distribution Builder von OpenJDK, einem benutzerdefinierten JDK für einen Cloud-Hersteller oder einem Drittanbieter-Builder in einem Container-Spiegel laufen.CVE-Fixes sind nicht behoben, je nachdem, ob der Anbieter den Upstream-Patch nicht eingegeben hat, und Oracle Haarlose Patch ist zwei Dinge.
Schauen Sie sich also nicht die Ankündigung von Oracle und seine Oracle JDK-Version an - finden Sie heraus, wer Sie wirklich sind. Es funktioniert nicht. Es ist nutzlos.
Was sollen wir tun?
- Bestätigen Sie zuerst die Version.Lauf!
java -versionVergleichen Sie die Tabelle oben. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Diese sind betroffen und nicht wiederhergestellte Versionen. - Nicht nur CPU abonnieren.Integriert den Sicherheitsalarm und die CSPU in die Überwachung, wobei die CVE-to-Advisory-Karte als Eintrag verwendet wird und nicht auf einer einzigen Seite basiert.
- Öffnen Sie den Vektor und sortieren Sie ihn.Ziehen Sie zumindest das Element A (Verfügbarkeit) heraus und ersetzen Sie das Wort "9.1" nicht durch das Wort "9.1".
- Check it out, Verkäufer.Das ist der wahre Weg zur Reparatur.
- Verlassen Sie sich nicht auf Minderungsmaßnahmen.In dieser Ankündigung gab Oracle es der Welt nicht, und die Kreditauskünfte wurden von Noon Credite geschrieben - weder von wem noch durch den Bypass. Es gibt nur eine Möglichkeit, dies zu beheben.
Es gibt einen weiteren Asset-Management-Punkt:Speichern Sie das Wort "Publizitätstyp" als Feld.CPU und Security Alert sollten bei der Reaktion auf SLA anders gewesen sein - ersteres kann durch vierteljährliche Fenster gehen und letzteres folgt einem Notfallprozess. In einer Uhr verzögert sich der Notfall bis zum Ende der Saison.
V. KONTEXT DER SCHLUSSKLÄRUNG
Diese Lücke selbst, 9,1 Punkte, nicht autorisiert, netzwerkfähig, nicht interaktiv, lesbar - sie sollte repariert und priorisiert werden.
Aber was es mir brachte, war nicht die Lücke selbst, aber es war ...Wie kam es aus meinen Augen?: ein nicht im Quartalsbulletin enthaltenes Notfall-Patch, eine unübertroffene Versionsnummer, ein 9,1 Punkt ohne RCE. Die drei Dinge, die isoliert passieren, sind nicht tödlich, und sie kommen zusammen und sie sind wie: "Ich dachte, ich wäre fertig, aber ich habe sie nicht gesehen."
Die Lücke ist nicht schrecklich, es ist schrecklich, dass Sie keinen Platz in Ihrem Prozess haben.
Notieren Sie sich übrigens die Daten und erleichtern Sie sich die Überprüfung: Im Laufe des Quartals hatte die CPU insgesamt 1295 neue Patches, von denen Java SE 55 ausmachte, von denen 49 aus der Ferne nicht autorisiert waren; CVE-2026-91403 ging Security Alert, 21. Oktober 2026, Rev 1, die nur Java SE als Produktlinie abdeckte.
Hier ist der Link:Oracle Security Alert – CVE-2026-91403Ich weiß es nicht. Wenn Sie den Text der Risiko-für-Risiko-Matrix sehen möchten, gibt es einen Link auf der Bulletin-Seite.