जावा में 9.1 स्प्लिट लूपहोल, CVE-2026-91403 है, लेकिन मैंने ओरेकल बुलेटिन के आसपास देखा और दो बड़े छेद मिले।
सबसे पहले, निष्कर्ष यह है:CVE-2026-91403 सच है, CVSS 3.1 ने 9.1 को हराया, और वास्तव में गंभीर। लेकिन यह इस सीज़न के सीपीयू बुलेटिन में नहीं है, और 9.1 मिनट में कोई "कोडिंग" नहीं है।यदि आपको यह सब नहीं पता है, तो आपको लय और आदेश गलत हो जाएगा।
यह छेद अक्टूबर 21, 2026 को ओरेकल द्वारा पारित किया गया था। सुरक्षा चेतावनी सिंगल-पॉइंट, क्वार्टरली पैच अपडेट से एक नहीं। घटक JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, JDK 17.02.13 और GraalVM EE 21.3.20 के लिए GraalVM हैं।
और मैं कहना चाहूंगा कि मैं ओरेकल के बुलेटिन सिस्टम पर जाऊंगा और छेद से ज्यादा लिखने लायक दो गड्ढे ढूंढ़ूंगा। क्योंकि ये दो गड्ढे समस्या नहीं हैं।क्वार्टरली स्वीपर बुलेटिन पर काम करने वाली सभी टीमें इस पर आगे बढ़ेगी।हाँ।
I. Pit One: यह इस तिमाही सीपीयू में नहीं है।
यह सबसे प्रभावशाली है। कई लोग (मेरे साथ एक महीने पहले) में Oracle की सुरक्षा लय: क्वार्टरली सीपीयू, एक बार अक्टूबर में, स्वीप 1295 पैच और यह खत्म हो गया।
लेकिन ओरेकल की सार्वजनिक घोषणा वास्तव में तीन पूल है:
- कैथोलिक पैच अद्यतन (CPU)- क्वार्टरली बैच, सभी एक साथ।
- सुरक्षा चेतावनी- तत्काल एकल डॉट्स, तिमाही लय में एकीकृत नहीं है, एक CVE एक ही पृष्ठ खोल सकता है।
- क्रिएटिव सुरक्षा पैच अद्यतन- दोनों के बीच एक पैच।
CVE-2026-91403।दूसरा पूल।मुझे नहीं पता। मैं सीपीयू बुलेटिन के पूर्ण पाठ के माध्यम से चला गया - 1295 नए पैच, जिनमें से जावा एसई 55, 49 को प्राधिकरण के बिना दूरस्थ रूप से इस्तेमाल किया जा सकता था -पूर्ण पाठ खोज CVE-2026-91403, 0 हिट।
इसका क्या मतलब है? यदि आपका परिसंपत्ति प्रवाह सीपीयू की एक "त्रैमासिक CVE सूची है, तो लूपहोल का नेतृत्व करें, मरम्मत अनुसूची करें," यह एक लूपहोल है।अपनी सूची में कभी नहीं।मुझे नहीं पता। यह गायब नहीं है, यह पाइप है जो डेटा स्रोत को कवर नहीं करता है।
और ओरेकल ने सुरक्षा चेतावनी के प्रभाव को एक विशेष मार्ग जोड़ा कि सुरक्षा चेतावनी के पैचप्रीमियर सपोर्ट या विस्तारित समर्थन चरण में केवल कवर संस्करणएक संस्करण जो समर्थन चक्र में नहीं है, का परीक्षण नहीं किया जाएगा। अनुवाद है - पुराने संस्करण में मुझे तलाश नहीं है।
रास्ते में, तालिकाओं के दो संस्करण ऊपर नहीं हैं।
यह गड्ढे जांच के दौरान खोजा गया था और यह भी अधिक खतरनाक है।
उसी अक्टूबर लय में, जावा एसई दो पूरी तरह से अलग संस्करणों के साथ दिखाई दिया: सीपीयू, जिसमें 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; सुरक्षा चेतावनी, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1 शामिल हैं।
यह त्रुटि नहीं है। यह दो अलग-अलग अपडेट है। मैंने सोचा, "मैं इस तिमाही सीपीयू के साथ किया हूँ" और यह एक ही संस्करण नहीं था।इन परिस्थितियों का सबसे खतरनाक पैच की अनुपस्थिति नहीं है, लेकिन तथ्य यह है कि उन्हें सुरक्षित बनाया गया है।
II: 9.1 मिनट, लेकिन RCE नहीं
यह शीर्षक को याद करने के लिए अधिक सूक्ष्म और आसान है।
CVE-2026-91403 वेक्टर CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nइसे खोलें।
| आयाम | मूल्य लेना | अर्थ |
|---|---|---|
| AV हमला वेक्टर | एन (नेटवर्क) | दूरस्थ पहुँच |
| हमले की एसी जटिलता | एल (कम) | पूर्व शर्त के एक गुच्छा के लिए कोई आवश्यकता नहीं है। |
| पीआर अनुमति आवश्यक | N (none) | आप प्रमाणीकरण के बिना शुरू कर सकते हैं। |
| यूआई यूज़र इंटरएक्टिव | N (none) | आपको लिंक के बारे में किसी को भी झूठ बोलने की जरूरत नहीं है। |
| कार्रवाई का दायरा | यू (कोई परिवर्तन नहीं) | प्रभाव अपने स्वयं के सुरक्षित डोमेन तक सीमित है |
| C गोपनीयता | एच (हाई) | सुलभ कुंजी |
| मैं ईमानदारी | एच (हाई) | कुंजी डेटा बनाया जा सकता है / हटाया / संशोधित |
| उपलब्धता | N (none) | ओरेकल ने सेवा के विघटन प्रभाव को इंगित नहीं किया |
अंतिम पंक्ति कुंजी है।कोई नहीं
ओरेकल का मूल विवरण अनधिकृत निर्माण, हटाने या एक्सेस अधिकारों के संशोधन, साथ ही कुंजी डेटा तक अनधिकृत पहुंच के लिए है।शब्द दूरस्थ कोड अपवाद पूरे नहीं दिखाई देता है।
यह नहीं है। 9.1 The point is C:H + I:H आयोजित — पठनीय, संशोधित, विनाशकारी. लेकिन "परिवर्तन पढ़ सकते हैं" और "किसी भी कोड को लागू कर सकते हैं। इससे निपटने के लिए दो चीजें हैं: पूर्व का अक्सर मतलब है कि डेटा की सतह पेनेट्रेटिंग है, और बाद में इसका मतलब है कि पूरी मशीन स्थानांतरित हो रही है। आप उन्हें अंशों में रैंक करते हैं और आप उन्हें धर्मार्थी मानते हैं।
एक और विस्तार: ओरेकल छेद कहते हैं।यह जावा तैनाती को प्रभावित कर सकता है जो अविश्वास योग्य कोड को लोड और चला सकता है।ठेठ दृश्य जावा सैंडबॉक्स के तहत सैंडबॉक्स में जावा वेब स्टार्ट एप्लिकेशन और सेब्ट है। यह अब एक दुर्लभ दृश्य है, लेकिन यदि आपके पास अपनी पुरानी प्रणाली में है, तो यह एक और चीज है क्योंकि सैंडबॉक्स की प्रकृति एक बार इसे पहना जाता है।
इसके अलावा, गड्ढे का अंशांकन: ओरेकल ने स्पष्ट रूप से अपने CVSS स्कोर को कहायह मानते हैं कि उपयोगकर्ता सेब्ट या वेबस्टार्ट चलाने में प्रशासक विशेषाधिकार है।(Windows) जब उपयोगकर्ता एक प्रशासक (Solaris, लिनक्स पर आम) नहीं है, तो गोपनीयता, अखंडता और प्रयोज्यता के लिए प्रभाव स्कोर को उच्च से निम्न तक घटा दिया जाता है, उसके बाद बेंचमार्क का एक बड़ा प्रतिशत होता है।इसी तरह CVE विभिन्न प्लेटफार्मों पर पूरी तरह से अलग हो सकता है।
तीन, एक छेद, तीन परतों।
दो गड्ढे वास्तव में एक ही विधिगत मुद्दे को इंगित करते हैं:हम सभी प्रकार के भिन्न होते हैं, लेकिन कोई भी शब्दार्थिक और सूत्रों को नहीं तोड़ता है।
प्रथम स्तर: बुलेटिन प्रणाली - जिसमें पूल यह चला जाता है
यह निर्धारित करता है कि क्या आपका स्वचालित पाइप इसे प्राप्त कर सकता है। सीपीयू, सुरक्षा चेतावनी, CSPU तीन अलग-अलग चैनल हैं, जिनमें विभिन्न लय, कवरेज और यहां तक कि URL संरचनाएं शामिल हैं। बस सीपीयू प्रक्रिया, स्वाभाविक रूप से सभी आपातकालीन एकल अंक लापता।
ऐसा करने का कम से कम सुविधाजनक तरीका निर्माता को प्राप्त करना है।CVE से बुलेटिन नक्शाइसे केवल प्रवेश पर विचार करें, एक विशिष्ट घोषणा नहीं है। ओरेकल सलाहकार/अलर्ट को अपना खुद का मानचित्र प्रदान करता है, जो किसी भी सीपीयू पेज की तुलना में अधिक विश्वसनीय है।
दूसरा स्तर: रेटिंग के semantics - 9.1 - जो अंक हैं?
CVSS एक अपघटन राशि है, एक रैंकिंग नहीं है। सी: एच / आई: एच / ए: एन 9.1 और सी: एच / आई: एच / ए: एच: एच, 9.1, निपटान प्राथमिकता अलग होनी चाहिए - पूर्व "डाटा छेड़छाड़" होना चाहिए और बाद में "सेवाएं लटकाना" होना पहले दो।
अधिक व्यावहारिक:यह बिंदुओं पर वेक्टर देखने के लिए उपयोगी है।एसी: एल + पीआर: एन + यूआई: एन, एक साथ लिया, मतलब है कि हमले का चेहरा पूरी तरह से खुला है, बिना किसी पूर्व शर्त के। सात के स्कोर के साथ भी, यह छेद उन नौ बिंदुओं की तुलना में अधिक इस्तेमाल होने की संभावना है जो जुड़े हुए हैं।
स्तर 3: आपूर्ति श्रृंखला - किसका निर्माण है?
Oracle JDK उनमें से सिर्फ एक है। आप एक क्लाउड निर्माता के लिए एक कस्टम JDK, OpenJDK के वितरण बिल्डर, या एक तीसरे पक्ष के निर्माता के साथ ऑनलाइन चल सकते हैं।CVE फिक्स को निश्चित नहीं किया जाता है, इस बात पर निर्भर करता है कि विक्रेता ने अपस्ट्रीम पैच नहीं लगाया था, और ओरेकल हेयरलेस पैच दो चीजें हैं।
इसलिए ओरेकल की घोषणा को नहीं देखते हैं और अपने ओरेकल JDK संस्करण को देखते हैं - पता करें कि आप वास्तव में कौन हैं। यह काम नहीं कर रहा है। यह बेकार है।
हमें क्या करना चाहिए?
- पहले संस्करण की पुष्टि करें।भागो!
java -version, ऊपर तालिका की तुलना करें। 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 ये प्रभावित होते हैं और पुनर्स्थापित नहीं होते हैं। - केवल सीपीयू को सब्सक्राइब न करें।सुरक्षा चेतावनी और CSPU को निगरानी में एकीकृत करता है, CVE-to-Advisory नक्शा का उपयोग प्रवेश के रूप में करता है और एक ही पृष्ठ पर भरोसा नहीं करता है।
- वेक्टर खोलें और इसे क्रमबद्ध करें।कम से कम A (availability) आइटम बाहर खींचो और "9.1" शब्द "9.1" के साथ बदल नहीं।
- इसे चेक आउट, विक्रेता।यह मरम्मत का असली रास्ता है।
- शमन उपायों पर मत गिनती।इस घोषणा में, ओरेकल ने इसे दुनिया में नहीं दिया था, और क्रेडिट स्टेटमेंट नोन क्रेडिट द्वारा लिखे गए थे - न तो उन्होंने ऐसा किया, न ही बाईपास। इसमें केवल एक ही तरह से पैच करना है।
एक अन्य परिसंपत्ति प्रबंधन आइटम है:"सार्वजनिकता प्रकार" शब्द को एक क्षेत्र के रूप में सहेजें।सीपीयू और सुरक्षा चेतावनी SLA को जवाब देने में अलग होना चाहिए - पूर्व त्रैमासिक खिड़कियों से गुजर सकता है और बाद में आपातकालीन प्रक्रिया का पालन करता है। एक घड़ी में, आपातकाल के अंत में देरी हो जाती है।
V. FINAL STATEMENT of the FINAL STATEMENT
यह लूपहोल खुद ही, 9.1 अंक, अनधिकृत, नेटवर्किंग, गैर-इंटरएक्टिव, पठनीय - इसे मरम्मत और प्राथमिकता दी जानी चाहिए।
लेकिन मुझे क्या लाया था, वह खुद ही नहीं था, लेकिन यह था ...यह मेरी दृष्टि से कैसे निकला?: एक आपातकालीन पैच तिमाही बुलेटिन में शामिल नहीं है, एक बेजोड़ संस्करण संख्या, RCE के बिना एक 9.1 बिंदु। तीन चीजें जो अलगाव में होती हैं वे घातक नहीं हैं, और वे एक साथ आते हैं और वे पसंद करते हैं, "मैंने सोचा कि मैं किया गया था, लेकिन मैं उन्हें नहीं देख सका।
लूपहोल भयानक नहीं है, यह भयानक है कि आपके पास अपनी प्रक्रिया में कोई जगह नहीं है।
रास्ते में, डेटा का एक नोट लें और अपने आप को जांचना आसान बनाता है: क्वार्टर के दौरान, सीपीयू के पास कुल 1295 नए पैच थे, जावा एसई 55, 49 के लिए जिम्मेदार थे, जिनमें से दूरस्थ रूप से अनधिकृत थे; CVE-2026-91403 सुरक्षा चेतावनी चला गया, 21 अक्टूबर 2026, Rev 1, जिसने केवल जावा एसई को उत्पाद लाइन के रूप में कवर किया।
यहाँ लिंक है:ओरेकल सिक्योरिटी अलर्ट - CVE-2026-91403मुझे नहीं पता। यदि आप जोखिम-by-risk मैट्रिक्स के पाठ को देखना चाहते हैं, तो बुलेटिन पृष्ठ पर एक लिंक है।