Ang Java ay may 9.1 split loophole, CVE-2026-91403, ngunit tumingin ako sa paligid ng bulletin ng Oracle at natagpuan ko ang dalawang malalaking butas.
Una, ang konklusyon ay:Ang CVE-2026-91403 ay totoo, CVS 3.1 beat 9.1, at tunay na malubha. Ngunit wala ito sa CPU bulletin ng season na ito, at walang "coding" sa 9.1 minuto.Kung hindi mo alam ang lahat, makukuha mo ang ritmo at mali ang pagkakasunud - sunod.
Ang butas na ito ay ipinasa ni Oracle noong Oktubre 21, 2026. Babala sa Seguridad Single-pointed, hindi isa mula sa Quarterly Patch Update. Ang mga bahagi ay JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.5, 27.0.1, at GraalVM para sa JDK 17.02.13 at GraalVM EE 21.3.20.
At nais kong banggitin, ayon sa pamagat, na ako'y daraan sa sistema ng bulletin ni Oracle at masusumpungan ko ang dalawang hukay na mas sulit isulat kaysa butas mismo. Sapagkat ang dalawang hukay na ito ay hindi siyang problema.Ang lahat ng pangkat na nagtatrabaho sa Quarterly Sweeper Bulletin ay kikilos dito.Oo.
I. Pit One: Wala ito sa CPU nitong quarter.
Ito ang pinaka-intuitibong anti-intuitibong. Maraming tao (kasali na ako isang buwan na ang nakalipas) ang may default sa ritmo ng seguridad ni Oracle: Quarterly CPU, minsan sa Oktubre, tangayin ang 1295 patse at ito'y tapos na.
Subalit ang pangmadlang patalastas ni Oracle ay aktuwal na tatlong pool:
- Catholic Patch Update (CPU)- Quarterly ports, sama-sama.
- Babala sa Seguridad— Ang mga tuldok, na hindi nakakabit sa ritmong quarterly, ay maaaring magbukas ng isang pahina.
- Ang Creative Security Patch Update— Isang patse sa pagitan ng dalawa.
CVE-2026-91403.Pangalawang pool.Hindi ko alam. Sinuri ko ang buong teksto ng CPU bulletin - 1295 bagong mga patse, kung saan ang Java SE ay 55, 49 ay maaaring gamitin nang malayo nang walang pahintulot --Full text search CVE-2026-91403, 0 ay hits.
Ano ang ibig sabihin niyan? Kung ang iyong mahalagang daloy ay isang "quarterly CVE list of CPUs, humantong sa loophole, iskedyul ng mga pagkukumpuni," ito ay isang loophole.Huwag sa iyong listahan.Hindi ko alam. Hindi nawawala, ito ang tubong hindi sumasaklaw sa pinagmulang datos.
At idinagdag ni Oracle ang isang pantanging daanan sa Security Alert sa epekto ng mga patse ng Security AlertMga bersiyon lamang sa pabalat ng Premier Support o Extended Support phase, ang isang bersiyon na wala sa siklo ng pagsuporta ay hindi masusubok. -Hindi ako hinahanap sa lumang bersyon.
Siyanga pala, ang dalawang bersiyon ng mga talahanayan ay hindi naka-up.
Ang hukay na ito ay natuklasan sa panahon ng imbestigasyon, at lalo pang nakababahala.
Sa parehong ritmo ng Oktubre, ang Java SE ay lumitaw na may dalawang ganap na magkaibang bersyon: ang CPU, na binubuo ng 8u503, 11.0.32.1, 17.0.20.1, 1.01.1.1, 25.04.4, 6.2, 27; Security Alert, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.1.1.
Hindi ito mali. Dalawang magkaibang updates ito. Naisip ko, "Natatapos ako sa CPU nitong quarter," at hindi ito parehong bersyon.Ang pinakamapanganib sa mga kalagayang ito ay hindi ang kawalan ng mga patse, kundi ang bagay na ang mga ito ay ginagawang ligtas.
II. Pit II: 9.1 minuto, ngunit hindi RCE
Mas tuso at mas madaling sumala sa titulo.
CVE-2026-91403 vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBuksan mo.
| Dimensiyon | Pahalagahan | Kahulugan |
|---|---|---|
| AV Attack Vector | N (Network) | Malayong daanan |
| Masalimuot ba ang pag - atake | L (mababa) | Hindi na kailangan ang isang kumpol ng mga prekondisyon. |
| Kailangan ang mga Pagpapahintulot ng PR | N (none) | Maaari kang magsimula nang walang katiyakan. |
| Interaktibo ang UI | N (none) | Hindi mo kailangang magsinungaling sa sinuman tungkol sa kawing. |
| Likaw ng Pagkilos | U (Walang pagbabago) | Ang epekto ay limitado sa sarili nitong ligtas na sakop |
| Kalihim | H (High) | Makakakuha ng susing datos |
| Katapatan | H (High) | Ang mga susing datos ay maaaring likhain/tanggal/maayos |
| Madaling Makamit | N (none) | Hindi ipinahiwatig ni Oracle ang epekto ng serbisyo |
Ang huling linya ang susi.Wala.
Ang orihinal na paglalarawan ni Oracle ay para sa hindi awtorisadong paglikha, deleksiyon o modipikasyon ng mga karapatan sa pag-akses, at hindi awtorisadong pagkuha ng mga susing datos.Ang salitang remote code eksepsiyon ay hindi lumilitaw sa kabuuan.
Hindi ito slang. 9.1 Ang punto ay C:H + I:H nakalagay — nababasa, nababago, mapangwasak. Ngunit "maaaring magbasa ng pagbabago" at "maaaring magpatupad ng anumang kodigo." May dalawang bagay na dapat pakitunguhan: ang nauna ay kadalasang nangangahulugan na ang ibabaw ng impormasyon ay tumatagos, at ang huling banggit ay nangangahulugan na ang buong makina ay nagbabago. Inuuri mo ang mga ito sa maliliit na bahagi, at inuuri mo ang mga ito sa semantiks.
Isa pang detalye: Sinasabi ni Oracle ang butas.Maaari itong makaapekto sa mga paglalagay ng Java ng mga karga at pagpapatakbo ng hindi mapagkakatiwalaang mga kodigo.Ang karaniwang eksena ay ang Java Web Start application at applet sa sandbox, sa ilalim ng Java sandbox. Pambihirang tanawin ito ngayon, subalit kung mayroon ka nito sa iyong lumang sistema, isa pa itong bagay sapagkat ang kalikasan ng sandbox ay nagbabago minsang ito'y isuot.
Bukod dito, ang calibration ng hukay: Malinaw na sinabi ng Oracle ang iskor nitong CVSSIpagpalagay nang ang mga gumagamit ng applet o WebStart ay may mga pribilehiyo sa administrador(Nakaraniwan ang mgaow) Kapag ang gumagamit ay hindi isang administrador (karaniwan sa Solaris, Linux), ang marka ng epekto para sa paglilihim, integridad at pagiging madaling gamitin ay nababawasan mula sa Mataas tungo sa Mababa, na sinusundan ng malaking porsiyento ng benkmark.Ang parehong CVE ay maaaring maging ganap na kakaiba sa iba't ibang platform.
Tatlo, isang butas, tatlong suson.
Ang dalawang hukay ay aktuwal na tumutukoy sa iisang isyu sa pamamaraan:Lahat tayo ay inuuri sa maliliit na bahagi, subalit walang lumalabag sa semantiks at sa mga pinagmumulan.
Unang antas: Sistema ng bulletin - kung saan nagtutungo ito
Ito ang tumitiyak kung makukuha ito ng iyong automated pipe. Ang CPU, Security Alert, CSPU ay tatlong magkakaibang channel, na may iba't ibang ritmo, sakop at maging mga istraktura ng URL. Ang proseso lamang ng CPU, natural na nawawala ang lahat ng mga emergency na isang puntos.
Ang hindi kombinyenteng paraan upang gawin iyan ay kunin ang tagagawa.Ilagay sa mapa ng bulletinIsaalang - alang ito ang tanging pasukan, hindi isang espesipikong patalastas. Ang Oracle ay nagbibigay ng sarili nitong Mapa ng CVE sa Advisory/Alert, na mas maaasahan kaysa sa anumang pahina ng CPU.
Ikalawang antas: ang mga semantika ng rating - 9.1 - alin ang mga punto?
Ang CVSS ay isang nabubulok na halaga, hindi isang ranggo. C:H/I:H/A:N 9.1 at C:H/I:H/A:H, 9.1, ang dapat na maging priyoridad sa pagtatapon ay iba – ang dating “idata tampered” at ang huli ay “ “ “ plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus plus.
Mas praktikal:Kapaki-pakinabang na makita ang mga vector sa ibabaw ng mga punto.AC:L + PR:N + UI:N, kung pagsasamahin, ay nangangahulugan na ang mukha ng pag-atake ay ganap na bukas, nang walang anumang mga prekonstruksyon. Kahit na may iskor na pito, ang butas na ito ay mas malamang na gamitin kaysa sa siyam na punto na magkakaugnay.
Level 3: Suplay chain - Kaninong konstruksiyon ito?
Isa lamang sa kanila si Oracle JDK. Maaari kang tumakbo online sa pamamagitan ng isang distribusyong tagapagtayo ng OpenJDK, isang kaugalian JDK para sa isang tagagawa ng ulap, o isang ikatlong-partidong tagapagtayo na nakaimpake sa isang salaming lalagyan.Ang mga VE fix ay hindi nakapirme, depende sa kung ang tinderong iyon ay hindi naglagay ng patlang sa itaas ng ilog, at ang Oracle na walang buhok ay dalawang bagay.
Kaya huwag tingnan ang patalastas ni Oracle at tingnan ang kanyang bersiyong Oracle JDK -- alamin kung sino ka talaga. Hindi ito gumagana. Wala itong silbi.
Ano ang dapat nating gawin?
- Tiyakin muna ang bersiyon.Takbo!
java -version, ihambing ang mesa sa itaas. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 27.0.1. Apektado ang mga ito at hindi naisasauli ang mga bersyon. - Huwag magskribe lamang sa CPU.Integrates ang security Alert at CSPU sa surveillance, gamit ang CVE-to-Avidy map bilang entry at hindi umaasa sa isang solong pahina.
- Buksan ang vector at uriin.Sa paano man ay ilabas ang A (availability) na bagay at hindi palitan ang salitang "9.1" ng salitang "9.1".
- Suriin mo, tindero.Iyan ang talagang daan na dapat kumpunihin.
- Huwag kang umasa sa mga hakbang para sa motigasyon.Sa patalastas na ito, hindi ito ibinigay ni Oracle sa mundo, at ang mga pahayag sa pautang ay isinulat ni Noon Crede - hindi sa pamamagitan ng kung sino ang gumawa nito, ni sa pamamagitan man ng bypass. Iisa lamang ang paraan upang malutas ito.
May isa pang bagay na asset-management:Iligtas ang salitang "publisidad na tipo" bilang isang larangan.Ang CPU at Security Alert ay dapat na magkaiba sa pagtugon sa SLA - ang nauna ay maaaring dumaan sa mga bintanang quarterly at ang huli ay sumusunod sa isang prosesong emergency. Sa isang relo, ang emergency ay naantala hanggang sa katapusan ng season.
V. SONTEXT NG KASAL NA KASALANAN
Ang loophole na ito mismo, 9.1 points, di awtorisado, networkable, non-interactive, mababasa – ito ay dapat ayusin at unahin.
Subalit ang dala nito sa akin ay hindi ang butas mismo, kundi ito ay...Paano ito nawala sa aking paningin?: isang emergency patlang na hindi kasama sa quarterly bulletin, isang walang katulad na bilang ng bersyon, isang 9.1 punto na walang RCE. At ang tatlong bagay na nangyayari sa bukod ay hindi nakamamatay, at ang mga ito'y nagkakapisan at ang mga ito'y gaya ng, Akala ko'y ginawa ako, nguni't hindi ko nakita.
Ang presipitasyon ay hindi kakila - kilabot, nakatatakot na ikaw ay walang dako sa iyong proseso.
Siyanga pala, kumuha ka ng isang nota ng datos at gawing mas madali para sa iyo na suriin ang iyong sarili: sa panahon ng quarter, ang CPU ay may kabuuang 1295 bagong mga patse, ang Java SE ay may bilang na 55, 49 nito ay malayong hindi na-aaccess; ang CVE-2026-91403 ay nagpunta sa Security Alert, 21 Oktubre 2026, Rev 1, na sumasaklaw lamang sa Java SE bilang isang linya ng produkto.
Narito ang link:Oracle Security Alert – CVE-2026-91403Hindi ko alam. Kung nais mong makita ang teksto ng customer-by-risk matrix, may link sa bulletin page.