Javalla on 9,1-haarainen porsaanreikä, CVE-2026-91403, mutta katsoin Oraakkelin tiedotetta ja löysin kaksi isoa reikää.

Ensinnäkin päätelmänä on, ettäCVE-2026-91403 on totta, CVSS 3.1 voittaa 9.1, ja jopa vakava. Mutta sitä ei ole tämän kauden CPU-lehdessä, eikä koodausta ole 9,1 minuutissa.Jos et tajua kaikkea, saat rytmin ja järjestyksen väärin.

Oraakkeli ohitti tämän reiän 21. lokakuuta 2026. Turvahälytys Yksikärkinen, ei yhtään Patch-päivityksestä. Komponentit ovat JSSE 8u511, 11,03, 17.0.21, 1.0113, 25.0,5, 27.0.1 sekä GraalVM JDK 17.02.13 ja GraalVM EE 21.3.20.

Haluaisin huomauttaa, että tutkisin Oraakkelin ilmoitusjärjestelmän - ja löytäisin kaksi kuoppaa, jotka ovat arvokkaampia kuin itse reikä. Nämä kaksi kuoppaa eivät ole ongelma.Kaikki neljännesvuosittain julkaistavan Sweeper Bulletinin parissa työskentelevät ryhmät astuvat sen päälle.Niin.

Se ei ole suoritin tällä neljänneksellä.

Tämä on intuitiivisinta. Monilla ihmisillä (myös minulla kuukausi sitten) on oletusarvo Oraclen turvallisuusrytmissä: neljännesvuosittainen suoritin, kerran lokakuussa, lakaise 1295 laastaria ja se on ohi.

Oraakkelin julkinen ilmoitus on kolme allasta:

• Katolinen paikkapäivitys (CPU)- Neljännesvuosittain, kaikki yhdessä.
• Turvahälytys— Urgent single dots, not integrated into the quarterly rhythm, a CVE might open a single page.
• Creative Security Patch -päivitys— A patch between the two.

CVE-2026-91403.Toinen allas.En tiedä. Kävin läpi CPU:n koko tekstin. 1295 uutta laastaria, joista Java SE oli 55, 49 voidaan käyttää etänä ilman lupaa.Koko tekstihaku CVE-2026-91403, 0 osumaa.

Mitä se tarkoittaa? Jos resurssivirtasi on "neljäsosainen CVE-luettelo suorittajista, johda porsaanreikään, ajoita korjaukset," se on porsaanreikä.Ei koskaan listallasi.En tiedä. Putki ei kata datalähdettä.

Oraakkeli lisäsi turvahälytysjärjestelmään erityisen kohdan, - jossa turvahälytys on kiinni.Kattaa vain versiot Premier Support tai laajennettu tuki vaiheessa, versiota, joka ei ole tukisyklin ei testata. Käännös on... Älä tule etsimään minua vanhasta versiosta.

Pöydistä ei muuten ole kahta versiota.

Tämä kuoppa löydettiin tutkimuksen aikana ja on vielä hälyttävämpi.

Samassa lokakuun rytmissä Java SE ilmestyi kahdella täysin erilaisella versiolla: CPU, joka koostuu 8u503, 11,032,1, 17,0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Varoitus, 8511, 11,03, 17.0.21, 1.01.1.3, 25.0,5, 27.0.1.

Se ei ole virhe. Kaksi eri päivitystä. Ajattelin, että suoritin on valmis, eikä se ollut sama versio.Vaarallisin näistä olosuhteista ei ole laastarien puuttuminen vaan se, että ne on tehty turvallisiksi.

II. Pit II: 9.1 minuuttia, mutta ei RCE

On hienovaraisempaa ja helpompaa jättää mestaruus väliin.

CVE-2026-91403 vektori CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NAvaa se.

Mitat	Ota arvo	Merkitys
AV Attack Vector	N (verkko)	Etäkäyttö
Hyökkäyksen AC monimutkaisuus	L (matala)	Ei ole tarvetta ennakkoehtoihin.
PR Vaaditut luvat	N (ei mikään)	Voit aloittaa ilman aitoutta.
Käyttöliittymän käyttäjä interaktiivinen	N (ei mikään)	Sinun ei tarvitse valehdella kenellekään linkistä.
S Toimenpiteen soveltamisala	U (Ei muutosta)	Vaikutus rajoittuu sen omaan turvalliseen alueeseen
Luottamuksellisuus	H (korkea)	Avaintiedot
I Ehellisyys	H (korkea)	Avaintietoja voidaan luoda/ poistaa/ muuttaa
Saatavuus	N (ei mikään)	Oracle ei ilmoittanut palvelun häiriöistä

Viimeinen rivi on avain.Ei

Oraakkelin alkuperäinen kuvaus on luvaton luomis-, poisto- tai muutosoikeus sekä luvaton pääsy avaintietoihin.Sanaa kauko-koodi poikkeus ei näy koko.

Se ei ole slangia. 9.1 Pointti on C:H + I:H kesti luettavia, muutettuja ja tuhoisia. Mutta "voi lukea muutosta" ja "voi valvoa minkä tahansa koodin." On käsiteltävä kahta asiaa: ensimmäinen tarkoittaa usein sitä, että datapinta on läpäisevä, ja jälkimmäinen tarkoittaa, että koko kone on siirtymässä. Ne ovat murtolukuja.

Vielä yksi yksityiskohta: Oraakkeli sanoo reiän.Se voi vaikuttaa Javan komennuksiin.Tyypillinen kohtaus on Java Web Start -sovellus ja sovelma hiekkalaatikossa, Java hiekkalaatikon alla. Se on harvinainen kohtaus nyt, mutta jos se on vanhassa järjestelmässäsi, se on toinen asia, koska hiekkalaatikon luonne muuttuu, kun se on kulunut.

Plus, kalibrointi kaivoksen: Oraakkeli selvästi sanoi sen CVSS pisteetOletetaan, että sovelman tai WebStartin käyttäjillä on ylläpitäjän oikeudet(Ikkunat yhteiset) Kun käyttäjä ei ole ylläpitäjä (yleinen Solaris, Linux), vaikutus pisteet luottamuksellisuus, eheys ja käytettävyys vähennetään korkeasta alhaiseen, ja sen jälkeen suuri osa vertailuarvosta.Sama CVE voi olla täysin erilainen eri alustoilla.

Kolme kerrosta.

Nämä kaksi kuoppaa viittaavat itse asiassa samaan metodologiaan:Olemme kaikki jakeita, mutta kukaan ei riko semantiikkaa ja lähteitä.

Ensimmäinen taso: ilmoitusjärjestelmä - jossa pooli se menee

Tämä määrittää, voiko automaattinen putki saada sen. CPU, Security Alert, CSPU ovat kolme eri kanavaa, eri rytmit, kattavuus ja jopa URL rakenteet. Vain suorittimen prosessi, luonnollisesti puuttuu kaikki hätä kohdat.

Se on helpoin tapa saada valmistaja.CVE ilmoituskartallePitäkää sitä ainoana sisäänkäyntinä. Oracle tarjoaa oman CVE-karttansa Advisory/Alertille, joka on luotettavampi kuin mikään CPU-sivu.

Toinen taso: luokituksen semanttisuus - 9.1 - mitkä ovat kohdat?

CVSS on hajoamisen määrä, ei sijoitus. C:H/I:H/A:N 9.1 ja C:H/I:H/A:H:H:H:H, 9.1, hävittämisen painopisteen olisi oltava erilainen: ensiksi mainittu on tietojen peukaloitu ja jälkimmäiset palvelut katkaistu ja kaksi ensimmäistä.

Käytännöllisempää:On hyödyllistä nähdä vektoreja pisteissä.AC:L + PR:N + UI:N, yhdessä, tarkoittaa, että kasvot hyökkäys on täysin avoin, ilman ehtoja. Vaikka pisteet seitsemän, tämä reikä on paljon todennäköisemmin käyttää kuin ne yhdeksän pistettä, jotka ovat yhteydessä.

Taso 3: Toimitusketju - Kenen rakentaminen se on?

Oracle JDK on vain yksi heistä. Voit ajaa verkossa jakelu rakentaja OpenJDK, custom JDK pilvivalmistaja, tai kolmannen osapuolen rakentaja pakattu kontti peiliin.CVE korjauksia ei ole korjattu, riippuen siitä, onko myyjä laittaa ylävirtaan laastari, ja Oracle karvaton laastari on kaksi asiaa.

Älä katso Oraakkelin ilmoitusta ja katso hänen Oracle JDK -versiotaan. Selvitä, kuka todella olet. Se ei toimi. Se on hyödytöntä.

Mitä meidän pitäisi tehdä?

1. Vahvista versio ensin.Juokse! java -version, vertaa yllä olevaa taulukkoa. 8u511 / 11.0,33 / 17.0.21 / 21.013 / 25.0,5 / 27.0.1 Nämä vaikuttavat eikä palautettu versioita.
2. Älä tilaa vain suoritinta.Sisällyttää turvahälytyksen ja CSPU:n valvontaan käyttämällä CVE-to-Advisory-karttaa merkintänä eikä tukeutumalla yhteen sivuun.
3. Avaa vektori ja lajittele se.Vedä ainakin A-kohta pois eikä korvaa sanaa "9.1" sanalla "9.1."
4. Katso, myyjä.Se on oikea tapa korjata.
5. Älä luota hillitsemistoimiin.Tässä ilmoituksessa Oraakkeli ei antanut sitä maailmalle, ja luottotiedot kirjoitti Noon Credite -- ei sen tekijä eikä ohitustie. On vain yksi tapa korjata tämä.

On toinenkin omaisuudenhoitoerä:Tallenna sana "julkisuuden tyyppi" pelloksi.Suoritin- ja turvahälytysjärjestelmän olisi pitänyt olla erilainen SLA:lle vastaamisessa - ensin mainittu voi kulkea neljännesvuosittain ja jälkimmäisessä noudatetaan hätäprosessia. Kellossa hätätilanne viivästyy kauden loppuun.

V. LOPPUSÄÄNNÖKSET

Tämä porsaanreikä itsessään, 9,1 pistettä, luvaton, verkotettavissa, ei-interaktiivinen, luettavissa .

Mutta se ei tuonut minulle itse porsaanreikää, mutta...Miten se pääsi silmistäni?: hätälappu, joka ei sisälly neljännesvuosittaiseen tiedotteeseen, vertaamaton versionumero, 9.1 piste ilman RCE:tä. Ne kolme asiaa, jotka tapahtuvat eristyksissä, eivät ole kohtalokkaita, ja ne tulevat yhteen ja he ajattelevat: "Luulin olevani valmis, mutta en nähnyt niitä."

Reikä ei ole kauhea, on kauheaa, että sinulla ei ole sijaa prosessissa.

Huomaa muuten tiedot ja helpota itsesi tarkistamista: neljänneksen aikana CPU:lla oli yhteensä 1295 uutta laastaria, Java SE:n osuus oli 55, 49, joista kauko-ohjatut; CVE-2026-91403 meni Security Alert, 21. lokakuuta 2026, Rev 1, joka kattoi vain Java SE:n tuotelinjana.

Tässä on linkki:Oracle Security AlertEn tiedä. Jos haluat nähdä riskimatriisin tekstin, siinä on linkki ilmoitussivulle.