Java a une échappatoire 9,1, CVE-2026-91403, mais j'ai regardé autour du bulletin Oracle et j'ai trouvé deux gros trous.
Premièrement, la conclusion est la suivante :CVE-2026-91403 est vrai, CVSS 3.1 battre 9.1, et même sérieux. Mais ce n'est pas dans le bulletin CPU de cette saison, et il n'y a pas de "codage" en 9.1 minutes.Si vous n'arrivez pas à tout comprendre, vous aurez le rythme et l'ordre faux.
Ce trou a été passé par Oracle le 21 octobre 2026. Alerte de sécurité Un point, pas un point de la mise à jour trimestrielle. Les composants sont JSSE 8u511, 110,33, 170,21, 1.01.13, 250,5, 270,1, plus GraalVM pour JDK 17.02.13 et GraalVM EE 21.3.20.
Et je voudrais souligner, par titre, que j'irais sur le système de bulletins d'Oracle et trouver deux fosses qui valent la peine d'écrire plus que le trou lui-même. Parce que ces deux fosses ne sont pas le problème.Toutes les équipes qui travaillent sur le Bulletin trimestriel du sweeper y participeront.Oui.
I. Pit One: Ce n'est pas dans le CPU ce trimestre.
C'est le plus anti-intuitif. Beaucoup de gens (y compris moi il y a un mois) ont un défaut sur le rythme de sécurité d'Oracle: CPU trimestriel, une fois en octobre, balayez 1295 patchs et c'est terminé.
Mais l'annonce publique d'Oracle est en fait trois pools:
- Mise à jour des lots catholiques (CPU)- Des lots trimestriels, tous ensemble.
- Alerte de sécurité— Des points simples urgents, non intégrés au rythme trimestriel, un CVE pourrait ouvrir une page unique.
- Mise à jour Creative Security Patch— Un patch entre les deux.
CVE-2026-91403.Deuxième piscine.Je ne sais pas. J'ai examiné le texte intégral du bulletin du CPU -- 1295 nouveaux correctifs, dont Java SE était 55, 49 pouvaient être utilisés à distance sans autorisation --Recherche en texte complet CVE-2026-91403, 0 résultats.
Qu'est-ce que ça veut dire ? Si votre flux d'actifs est une « liste trimestrielle CVE des CPU, mène à l'échappatoire, programme les réparations », c'est une échappatoire.Jamais sur ta liste.Je ne sais pas. Il ne manque pas, c'est le tuyau qui ne couvre pas la source de données.
Et Oracle a ajouté un passage spécial à l'alerte de sécurité à l'effet que les patchs d'alerte de sécuritéSeulement les versions couverture dans la phase Premier Support ou Support élargi, une version qui n'est pas dans le cycle de support ne sera pas testée. Traduction est -- ne venez pas me chercher dans l'ancienne version.
Au fait, deux versions des tableaux ne sont pas prêtes.
Cette fosse a été découverte au cours de l'enquête et est encore plus alarmante.
Dans le même rythme d'octobre, Java SE est apparu avec deux versions complètement différentes : CPU, comprenant 8u503, 110,32.1, 170,20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8511, 110,33, 170,21, 1.01.1.3, 250,5, 270,1.
Ce n'est pas une erreur. Deux mises à jour différentes. Je me suis dit, "J'en ai fini avec le CPU ce trimestre", et ce n'était pas la même version.La plus dangereuse de ces circonstances n'est pas l'absence de patchs, mais le fait qu'ils soient rendus sûrs.
II. Pit II: 9.1 minutes, mais pas RCE
C'est plus subtil et plus facile de manquer le titre.
CVE-2026-91403 vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NOuvre-le.
| Dimensions | Prise de valeur | Signification |
|---|---|---|
| Vecteur d'attaque AV | N (Réseau) | Accès à distance |
| complexité AC de l'attaque | L (faible) | Il n'y a pas besoin de conditions préalables. |
| Autorisations requises | Aucun | Vous pouvez commencer sans authentification. |
| Interactive utilisateur de l' UI | Aucun | Tu n'as pas à mentir à personne à propos du lien. |
| S Portée de l'action | U (Sans changement) | Impact limité à son propre domaine sûr |
| C Confidentialité | H (haut) | Données clés accessibles |
| I Intégrité | H (haut) | Les données clés peuvent être créées/ supprimées/ modifiées |
| A Disponibilité | Aucun | Oracle n'a pas indiqué les effets de perturbation du service |
La dernière ligne est la clé.Aucune.
La description originale d'Oracle est pour la création, la suppression ou la modification non autorisée des droits d'accès, plus l'accès non autorisé aux données clés.L'exception de code distant n'apparaît pas partout.
Ce n'est pas de l'argot. 9.1 Le point est C:H + I:H retenu — lisible, modifié, destructeur. Mais "peut lire le changement" et "peut faire appliquer n'importe quel code." Il y a deux choses à traiter : la première signifie souvent que la surface des données pénètre, et la seconde signifie que toute la machine se déplace. Vous les classez en fractions, et vous les classez en sémantique.
Encore un détail : Oracle dit le trou.Cela pourrait affecter les déploiements Java qui chargent et exécutent des codes indignes de confiance.La scène typique est l'application Java Web Start et applet dans le bac à sable, sous le bac à sable Java. C'est une scène rare maintenant, mais si vous l'avez dans votre ancien système, c'est une autre chose parce que la nature du bac à sable change une fois porté.
De plus, le calibrage de la fosse: Oracle a clairement dit son score CVSSSupposons que les utilisateurs exécutant applet ou WebStart ont des privilèges d'administrateur(Windows commun) Lorsque l'utilisateur n'est pas un administrateur (commun sur Solaris, Linux), le score d'impact pour la confidentialité, l'intégrité et la facilité d'utilisation est réduit de High à Low, suivi d'un pourcentage important de la référence.Le même CVE peut être complètement différent sur différentes plateformes.
Trois, un trou, trois couches.
En fait, les deux puits mettent en évidence la même question méthodologique :Nous sommes tous triés en fractions, mais personne ne brise la sémantique et les sources.
Premier niveau: système de bulletins - dans quel bassin il va
Cela détermine si votre tuyau automatisé peut l'obtenir. CPU, Security Alert, CSPU sont trois canaux différents, avec des rythmes différents, une couverture et même des structures URL. Juste le processus CPU, manquant naturellement tous les points d'urgence.
La façon la moins pratique de le faire est d'obtenir le fabricant.CVE à la carte du bulletinConsidérez-le comme la seule entrée, et non comme une annonce spécifique. Oracle fournit sa propre carte de CVE à Advisory/Alert, qui est plus fiable que n'importe quelle page CPU.
Deuxième niveau: la sémantique de la notation - 9.1 - quels sont les points?
Le CVSS est une quantité de décomposition, pas un classement. C:H/I:H/A:N 9.1 et C:H/I:H/A:H:H, 9.1, la priorité d'élimination devrait être différente — le premier étant des données falsifiées et le second étant des services suspendus plus les deux premiers.
Plus pratique:Il est utile de voir les vecteurs sur les points.AC:L + PR:N + UI:N, pris ensemble, signifie que le visage de l'attaque est complètement ouvert, sans aucune condition préalable. Même avec une note de sept, ce trou est beaucoup plus susceptible d'être utilisé que ces neuf points qui sont liés.
Niveau 3: Chaîne d'approvisionnement - À qui appartient la construction?
Oracle JDK n'est qu'un des leurs. Vous pouvez exécuter en ligne avec un constructeur de distribution d'OpenJDK, un JDK personnalisé pour un fabricant de cloud, ou un constructeur tiers emballé dans un miroir de conteneur.Les correctifs CVE ne sont pas fixes, selon que ce fournisseur n'a pas mis le patch en amont, et Oracle patch sans cheveux est deux choses.
Donc, ne regardez pas l'annonce d'Oracle et regardez sa version Oracle JDK -- découvrez qui vous êtes vraiment. Ça ne marche pas. C'est inutile.
Que devrions-nous faire ?
- Confirmez d'abord la version.Cours !
java -version, voir le tableau ci-dessus. 8u511 / 110,33 / 17,0.21 / 21,0.13 / 250,5 / 27,0.1 Ces versions sont affectées et non restaurées. - Ne pas s'abonner seulement au CPU.Intégre l'alerte de sécurité et le SCPU à la surveillance, en utilisant la carte CVE-à-conseil comme entrée et en ne comptant pas sur une seule page.
- Ouvrez le vecteur et triez-le.Au moins retirez l'élément A (disponibilité) et ne remplacez pas le mot "9.1" par le mot "9.1".
- Regarde, vendeur.C'est la vraie voie de réparation.
- Ne comptez pas sur les mesures d'atténuation.Dans cette annonce, Oracle ne l'a pas donnée au monde, et les états de crédit ont été écrits par Noon Credite -- ni par qui, ni par le contournement. Il n'y a qu'un seul moyen de corriger ça.
Il y a un autre élément de gestion des actifs :Enregistrer le mot « type de publicité » comme un champ.CPU et Security Alert auraient dû être différents pour répondre à l'ALS - le premier peut passer par des fenêtres trimestrielles et le second suit un processus d'urgence. En veille, l'urgence est reportée à la fin de la saison.
V. CONTEXTE DE LA DÉCLARATION FINALE
Cette échappatoire elle-même, 9,1 points, non autorisée, réseautable, non interactive, lisible, devrait être réparée et hiérarchisée.
Mais ce que ça m'a apporté n'était pas la faille elle-même, mais c'était...Comment est-il sorti de ma vue ?: un correctif d'urgence non inclus dans le bulletin trimestriel, un numéro de version non assorti, un point 9.1 sans RCE. Les trois choses qui se produisent en isolement ne sont pas fatales, et ils se réunissent et ils sont comme, "Je pensais que j'avais fait, mais je ne les ai pas vus."
L'échappatoire n'est pas terrible, il est terrible que vous n'ayez aucune place dans votre processus.
En passant, prenez note des données et facilitez votre vérification : au cours du trimestre, le CPU avait un total de 1295 nouveaux patchs, Java SE comptait 55, dont 49 n'étaient pas autorisés à distance ; CVE-2026-91403 est allé Security Alert, 21 octobre 2026, Rev 1, qui ne couvrait que Java SE comme ligne de produits.
Voici le lien :Alerte de sécurité Oracle – CVE-2026-91403Je ne sais pas. Si vous voulez voir le texte de la matrice de risque par risque, il y a un lien sur la page du bulletin.