Java ha una scappatoia divisa 9.1, CVE-2026-91403, ma ho guardato intorno al bollettino Oracle e trovato due grandi buchi.
Innanzitutto, la conclusione è che:CVE-2026-91403 è vero, CVSS 3.1 battere 9.1, e davvero serio. Ma non è nel bollettino della CPU di questa stagione, e non c'è "codifica" in 9,1 minuti.Se non capisci tutto, avrai il ritmo e l'ordine sbagliato.
Questo buco è stato passato da Oracle il 21 ottobre 2026. Avviso di sicurezza Single-pointed, non uno dal Quarterly Patch Update. I componenti sono JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, più GraalVM per JDK 17.02.13 e GraalVM EE 21.3.20.
E vorrei sottolineare, per titolo, che andrei al sistema dei bollettini di Oracle e trovare due pozzi che vale la pena scrivere più del buco stesso. Perché questi due pozzi non sono il problema.Tutte le squadre che lavorano sul Bollettino trimestrale di Sweeper ci caleranno.Si'.
I. Pit One: Non è nella CPU questo trimestre.
Questo è il più anti-intuitivo. Molte persone (tra cui me un mese fa) hanno un default sul ritmo di sicurezza di Oracle: CPU trimestrale, una volta in ottobre, spazzare 1295 patch ed è finita.
Ma l'annuncio pubblico di Oracle è in realtà tre piscine:
- Aggiornamento della patch cattolica (CPU)- Trimestrali, tutti insieme.
- Avviso di sicurezza— singoli punti, non integrati nel ritmo trimestrale, un CVE potrebbe aprire una singola pagina.
- Aggiornamento della patch di sicurezza creativa— Una patch tra i due.
CVE-2026-91403.Seconda piscina.Non lo so. Ho attraversato il testo completo del bollettino CPU -- 1295 nuove patch, di cui Java SE era 55, 49 potrebbe essere utilizzato da remoto senza autorizzazione --Ricerca di testo completo CVE-2026-91403, 0 colpi.
Che significa? Se il flusso di attività è un "quasi CVE elenco di CPU, portare alla scappatoia, pianificare le riparazioni", è una scappatoia.Mai nella tua lista.Non lo so. Non manca, è il tubo che non copre la fonte di dati.
E Oracle ha aggiunto un passaggio speciale al Security Alert all'effetto che le patch di Security AlertCoprire solo le versioni in Premier Support o Extended Support, una versione che non è nel ciclo di supporto non sarà testata. La traduzione e'... non venire a cercarmi nella vecchia versione.
A proposito, due versioni dei tavoli non sono in funzione.
Questo pozzo è stato scoperto durante l'indagine, ed è ancora più allarmante.
Nello stesso ritmo di ottobre, Java SE è apparso con due versioni completamente diverse: CPU, che comprende 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Non e' un errore. Sono due aggiornamenti diversi. Ho pensato: "Ho chiuso con la CPU questo trimestre", e non era la stessa versione.Il più pericoloso di queste circostanze non è l'assenza di patch, ma il fatto che sono fatti al sicuro.
II. Pit II: 9,1 minuti, ma non RCE
E 'più sottile e più facile da perdere il titolo.
CVE-2026-91403 vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NAprila.
| Dimensioni | Valore | Significato |
|---|---|---|
| AV Attack Vector | N (Rete) | Accesso remoto |
| Complessità di attacco AC | L (basso) | Non c'è bisogno di un sacco di precondizioni. |
| Permessi PR richiesti | N (none) | È possibile avviare senza autenticazione. |
| Interattivo utente UI | N (none) | Non devi mentire a nessuno sul legame. |
| S Ambito di azione | U (Nessun cambiamento) | Impatto limitato al proprio dominio sicuro |
| C Riservatezza | H (alto) | Dati chiave accessibili |
| Integrità | H (alto) | I dati chiave possono essere creati/ cancellati/modificati |
| A Disponibilità | N (none) | Oracle non ha indicato gli effetti disagi del servizio |
L'ultima linea è la chiave.Nessuno.
La descrizione originale di Oracle è per la creazione non autorizzata, la cancellazione o la modifica dei diritti di accesso, più l'accesso non autorizzato ai dati chiave.La parola eccezione codice remoto non appare in tutto.
Non e' slang. 9.1 Il punto è C:H + I:H tenuto su — leggibile, modificato, distruttivo. Ma "può leggere il cambiamento" e "può far rispettare qualsiasi codice." Ci sono due cose da affrontare: il primo spesso significa che la superficie dei dati è penetrante, e quest'ultimo significa che tutta la macchina sta cambiando. Li classificate in frazioni e li classificate in semantica.
Ancora un dettaglio: Oracle dice il buco.Potrebbe influenzare le distribuzioni Java che caricano ed eseguono codici inaffidabili.La scena tipica è l'applicazione Java Web Start e applet nella sandbox, sotto la sandbox Java. E' una scena rara, ma se l'hai nel tuo vecchio sistema, e' un'altra cosa perche' la natura della sandbox cambia una volta indossata.
Inoltre, la calibrazione del pozzo: Oracle ha detto chiaramente il suo punteggio CVSSAssumere che gli utenti che eseguono applet o WebStart hanno privilegi di amministratore(Windows comune) Quando l'utente non è un amministratore (comune su Solaris, Linux), il punteggio di impatto per la riservatezza, l'integrità e l'usabilità è ridotto da High a Low, seguito da una grande percentuale del benchmark.Lo stesso CVE può essere completamente diverso su diverse piattaforme.
Tre, un buco, tre strati.
I due pozzi indicano effettivamente lo stesso problema metodologico:Siamo tutti ordinati in frazioni, ma nessuno rompe i semantici e le fonti.
Primo livello: sistema di bollettino - in cui la piscina va
Ciò determina se il tubo automatizzato può ottenerlo. CPU, Security Alert, CSPU sono tre diversi canali, con diversi ritmi, copertura e anche strutture URL. Solo il processo della CPU, naturalmente manca tutti i singoli punti di emergenza.
Il modo meno conveniente per farlo è quello di ottenere il produttore.CVE alla mappa del bollettinoConsideralo l'unico ingresso, non un annuncio specifico. Oracle fornisce la propria mappa di CVE a Advisory/Alert, che è più affidabile di qualsiasi pagina della CPU.
Secondo livello: la semantica della valutazione - 9.1 - quali sono i punti?
CVSS è un importo di decomposizione, non una classifica. C:H/I:H/A:N 9.1 e C:H/I:H/A:H:H, 9.1, la priorità di smaltimento dovrebbe essere diversa — la prima è “data manompered” e quest’ultima è “servizi appesi” più i primi due.
Più pratico:E' utile vedere i vettori sui punti.AC:L + PR:N + UI:N, preso insieme, significa che il volto dell'attacco è completamente aperto, senza precondizioni. Anche con un punteggio di sette, questo buco è molto più probabile che sia utilizzato rispetto a quei nove punti che sono collegati.
Livello 3: Supply Chain - Di chi è la costruzione?
Oracle JDK è solo uno di loro. È possibile eseguire online con un costruttore di distribuzione di OpenJDK, un JDK personalizzato per un produttore di cloud, o un costruttore di terze parti imballato in uno specchio contenitore.Le correzioni CVE non sono fisse, a seconda che il fornitore non abbia messo la patch a monte, e Oracle hairless patch è due cose.
Quindi non guardare l'annuncio di Oracle e guardare la sua versione di Oracle JDK -- scoprire chi sei veramente. Non funziona. E' inutile.
Cosa dovremmo fare?
- Conferma prima la versione.Corri!
java -version, confrontare la tabella sopra. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Queste sono versioni colpite e non restaurate. - Non abbonatevi solo alla CPU.Integra la sicurezza Alert e CSPU nella sorveglianza, utilizzando la mappa CVE-to-Advisory come voce e non facendo affidamento su una singola pagina.
- Apri il vettore e ordinalo.Almeno tirare fuori l'articolo A (disponibilità) e non sostituire la parola "9.1" con la parola "9.1".
- Guarda, venditore.E' il vero percorso di riparazione.
- Non contare sulle misure di mitigazione.In questo annuncio, Oracle non lo ha dato al mondo, e le dichiarazioni di credito sono state scritte da Noon Credite -- né da chi lo ha fatto, né dal bypass. C'e' solo un modo per sistemare le cose.
C'è un altro elemento di asset management:Salvare la parola "tipo di pubblicità" come campo.CPU e Security Alert dovrebbero essere stati diversi nel rispondere a SLA - il primo può passare attraverso finestre trimestrali e quest'ultimo segue un processo di emergenza. In un orologio, l'emergenza viene ritardata alla fine della stagione.
V. CONTESTO DELL'ATTUAZIONE FINALE
Questa scappatoia stessa, 9.1 punti, non autorizzato, in rete, non interattivo, leggibile — dovrebbe essere riparato e priorità.
Ma quello che mi ha portato non era la scappatoia stessa, ma era...Come e' uscito dalla mia vista?: una patch di emergenza non inclusa nel bollettino trimestrale, un numero di versione non abbinato, un punto 9,1 senza RCE. Le tre cose che accadono in isolamento non sono fatali e si uniscono e dicono: "Pensavo di aver chiuso, ma non li ho visti".
La scappatoia non è terribile, è terribile che non avete posto nel vostro processo.
Tra l'altro, prendere una nota dei dati e rendere più facile per voi controllare se stessi: durante il trimestre, la CPU aveva un totale di 1295 nuove patch, Java SE ha rappresentato 55, 49 dei quali sono stati remotamente non autorizzati; CVE-2026-91403 è andato Security Alert, 21 ottobre 2026, Rev 1, che ha coperto solo Java SE come linea di prodotto.
Ecco il link:Oracle Security Alert – CVE-2026-91403Non lo so. Se vuoi vedere il testo della matrice a rischio per rischio, c'è un link nella pagina del bollettino.