Java tiene un vacío de 9.1 split, CVE-2026-91403, pero miré alrededor del boletín de Oracle y encontré dos agujeros grandes.
Primero, la conclusión es que:CVE-2026-91403 es cierto, CVSS 3.1 bat 9.1, y de hecho serio. Pero no está en el boletín de CPU de esta temporada, y no hay "coding" en 9,1 minutos.Si no lo sabes todo, te equivocarás el ritmo y el orden.
Este agujero fue pasado por Oracle el 21 de octubre de 2026. Security Alert Punto único, no uno de la actualización trimestral del parche. Los componentes son JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, más GraalVM para JDK 17.02.13 y GraalVM EE 21.3.20.
Y me gustaría señalar, por título, que pasaría por el sistema de anuncios de Oracle y encontraría dos agujeros que vale la pena escribir más que el agujero en sí. Porque estos dos pozos no son el problema.Todos los equipos que trabajan en el Boletín Trimestral Sweeper lo harán.Sí.
I. Pit One: No está en la CPU este trimestre.
Este es el más anti-intuitivo. Mucha gente (incluido yo hace un mes) tiene un defecto en el ritmo de seguridad de Oracle: CPU trimestral, una vez en octubre, barrer 1295 parches y se acabó.
Pero el anuncio público de Oracle es en realidad tres piscinas:
- Catholic Patch Update (CPU)- Batches trimestrales, todos juntos.
- Security Alert— Puntos individuales urgentes, no integrados en el ritmo trimestral, un CVE podría abrir una sola página.
- Actualización de partch de seguridad creativa- Un parche entre los dos.
CVE-2026-91403.Segunda piscina.No lo sé. Pasé por el texto completo del boletín de la CPU -- 1295 nuevos parches, de los cuales Java SE tenía 55, 49 podría ser utilizado remotamente sin autorización --Búsqueda completa de texto CVE-2026-91403, 0 hits.
¿Qué significa eso? Si su flujo de activos es una "lista CVE trimestral de CPUs, conduce a la laguna, programa las reparaciones", es una laguna.Nunca en tu lista.No lo sé. No falta, es la tubería que no cubre la fuente de datos.
Y Oracle agregó un pasaje especial a la Alerta de Seguridad al efecto que los parches de Security AlertSólo las versiones de cobertura en la fase Premier Support o Extended Support, una versión que no está en el ciclo de soporte no será probado. La traducción es... no vengas a buscarme en la versión antigua.
Por cierto, dos versiones de las tablas no están actualizadas.
Este pozo fue descubierto durante la investigación, y es aún más alarmante.
En el mismo ritmo de octubre, Java SE apareció con dos versiones completamente diferentes: CPU, que comprende 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
No es un error. Son dos actualizaciones diferentes. Pensé: "He terminado con la CPU este trimestre", y no era la misma versión.Lo más peligroso de estas circunstancias no es la ausencia de parches, sino el hecho de que se hacen seguros.
II: 9,1 minutos, pero no RCE
Es más sutil y más fácil perder el título.
vector CVE-2026-91403 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NÁbrelo.
| Dimensiones | Valor | Significado |
|---|---|---|
| AV Attack Vector | N (Network) | Acceso remoto |
| Complejidad AC del ataque | L (bajo) | No hay necesidad de un montón de condiciones previas. |
| PR Permisos requeridos | N (ninguno) | Puedes empezar sin autenticación. |
| UI Usuario Interactivo | N (ninguno) | No tienes que mentirle a nadie sobre el enlace. |
| S Ámbito de Acción | U (No hay cambio) | Impacto limitado a su propio dominio seguro |
| C Confidencialidad | H (High) | Datos clave accesibles |
| I Integridad | H (High) | Los datos clave se pueden crear/ eliminar/modificar |
| A Availability | N (ninguno) | Oracle no indicó los efectos de perturbación del servicio |
La última línea es la clave.Ninguno.
La descripción original de Oracle es para la creación no autorizada, eliminación o modificación de los derechos de acceso, además de acceso no autorizado a datos clave.La palabra excepción de código remoto no aparece en todo.
No es slang. 9.1 El punto es C:H + I:H sostenido — legible, modificado, destructivo. Pero "puede leer el cambio" y "puede hacer cumplir cualquier código". Hay dos cosas que hacer: la primera a menudo significa que la superficie de datos está penetrando, y la segunda significa que toda la máquina está cambiando. Las clasificas en fracciones, y las clasificas en semántica.
Un detalle más: Oracle dice el agujero.Podría afectar las implementaciones de Java que cargan y ejecutan códigos injustificados.La escena típica es la aplicación Java Web Start y applet en la caja de arena, bajo la caja de arena Java. Es una escena rara ahora, pero si la tienes en tu viejo sistema, es otra cosa porque la naturaleza de la caja de arena cambia una vez que se usa.
Además, la calibración de la fosa: Oracle claramente dijo su puntuación CVSSSuponga que los usuarios que ejecutan applet o WebStart tienen privilegios de administrador(Vientos comunes) Cuando el usuario no es un administrador (común en Solaris, Linux), la puntuación de impacto para la confidencialidad, integridad y usabilidad se reduce de Alto a Bajo, seguido de un gran porcentaje de la referencia.El mismo CVE puede ser completamente diferente en diferentes plataformas.
Tres, un agujero, tres capas.
Los dos pozos apuntan a la misma cuestión metodológica:Todos estamos ordenados en fracciones, pero nadie rompe la semántica y las fuentes.
Primer nivel: sistema de boletines - en el que la piscina va
Esto determina si su tubo automatizado puede conseguirlo. CPU, Security Alert, CSPU son tres canales diferentes, con diferentes ritmos, cobertura e incluso estructuras URL. Sólo el proceso de CPU, naturalmente falta todos los puntos individuales de emergencia.
La forma menos conveniente de hacerlo es conseguir el fabricante.CVE al mapa del boletínConsidéralo la única entrada, no un anuncio específico. Oracle proporciona su propio Mapa de CVE a Advisory/Alert, que es más confiable que cualquier página de CPU.
Segundo nivel: la semántica de la calificación - 9.1 - ¿Cuáles son los puntos?
CVSS es una cantidad de descomposición, no una clasificación. C:H/I:H/A:N 9.1 y C:H/I:H/A:H:H, 9.1, la prioridad de eliminación debe ser diferente: el primero es “data tampered” y el segundo es “servicios colgados” más los dos primeros.
Más práctico:Es útil ver vectores sobre puntos.AC:L + PR:N + UI:N, tomados juntos, significa que la cara del ataque está completamente abierta, sin condiciones previas. Incluso con una puntuación de siete, este agujero es mucho más probable que se use que los nueve puntos que están vinculados.
Nivel 3: Cadena de suministro - ¿De quién es la construcción?
Oracle JDK es sólo uno de ellos. Usted podría correr en línea con un constructor de distribución de OpenJDK, un JDK personalizado para un fabricante de nubes, o un constructor de terceros empaquetado en un espejo de contenedor.Las correcciones CVE no se fijan, dependiendo de si ese vendedor no puso el parche de arriba en, y Oracle parche sin pelo es dos cosas.
Así que no mires el anuncio de Oracle y miren su versión de Oracle JDK - averiguar quién eres realmente. No funciona. Es inútil.
¿Qué debemos hacer?
- Confirme la versión primero.¡Corre!
java -version, compare la tabla anterior. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Estas son versiones afectadas y no restauradas. - No se suscriba sólo a CPU.Integra la alerta de seguridad y la CSPU en la vigilancia, utilizando el mapa CVE-to-Advisory como entrada y sin confiar en una sola página.
- Abre el vector y ordena.Al menos saca el elemento A (disponibilidad) y no reemplaza la palabra "9.1" con la palabra "9.1".
- Míralo, vendedor.Ese es el verdadero camino de reparación.
- No cuentes con medidas de mitigación.En este anuncio, Oracle no lo dio al mundo, y las declaraciones de crédito fueron escritas por Noon Credite -- ni por quién lo hizo, ni por el bypass. Sólo hay una manera de arreglar esto.
Hay otro elemento de gestión de activos:Guardar la palabra "tipo de publicidad" como campo.La CPU y la Alerta de Seguridad deberían haber sido diferentes en responder al SLA - la primera puede pasar por ventanas trimestrales y la segunda sigue un proceso de emergencia. En un reloj, la emergencia se retrasa hasta el final de la temporada.
V. CONTEXTO DE LA DECLARACIÓN FINAL
Esta laguna en sí, 9,1 puntos, no autorizado, en red, no interactivo, legible, debe ser reparada y priorizada.
Pero lo que me trajo no era el agujero en sí, pero era...¿Cómo salió de mi vista?: un parche de emergencia no incluido en el boletín trimestral, un número de versión sin igual, un punto 9.1 sin RCE. Las tres cosas que suceden en aislamiento no son fatales, y se reúnen y son como: "Pensé que había terminado, pero no las vi".
El agujero no es terrible, es terrible que no tengas lugar en tu proceso.
Por cierto, tome nota de los datos y haga más fácil comprobarse: durante el trimestre, la CPU tenía un total de 1295 nuevos parches, Java SE representó 55, 49 de los cuales no estaban autorizados remotamente; CVE-2026-91403 fue Security Alert, 21 de octubre de 2026, Rev 1, que cubrió solamente Java SE como una línea de productos.
Aquí está el enlace:Alerta de seguridad de Oracle – CVE-2026-91403No lo sé. Si quieres ver el texto de la matriz de riesgo por riesgo, hay un enlace en la página del boletín.