Java は 9.1 スプリットループホール、CVE-2026-91403 を持っていますが、Oracle の箇条書きを調べ、2 つの大きな穴を見つけました。

まず、結論は、次のとおりです。CVE-2026-91403は本当です、CVSS 3.1は9.1を打ちます、そして確かに深刻な。しかし、今シーズンのCPUの弾丸ではなく、9.1分で「コーディング」がない。それをすべての数値化していない場合は、リズムと注文が間違っています。

2026年10月21日にオラクルを通過しました。 セキュリティアラート 四半期パッチ更新から1つではなく、シングルポイント。コンポーネントはJSSE 8u511、11.0.33、17.0.21、1.01.13、25.0.5、27.0.1、JDK 17.02.13およびGralVM EE 21.3.20のGradVMです。

そして、私はオラクルの弾丸システムを乗り越え、穴自体よりも書く価値のある2つのピットを見つけるために、タイトルで、指摘したいと思います。これらの2つのピットは問題ではありませんので。四半期ごとのSweeper Bulletinで作業しているすべてのチームは、そのステップを行います。お問い合わせ

I. ピットワン:この四半期のCPUにはありません。

これは最も反直感的です。多くの人は、Oracleのセキュリティリズムにデフォルトを持っています:四半期 CPU、10月に一度、1295パッチを掃引し、それ以上です。

しかし、Oracleの公開発表は実際には3つのプールです。

カトリックパッチ更新(CPU)- 四半期ごとのバッチ、すべて一緒に。
セキュリティアラート— 四分の一のリズムに統合されていない緊急のシングルドット、CVEは単一のページを開くかもしれません。
クリエイティブセキュリティパッチ更新— 2つの間のパッチ。

CVE-2026-91403。セカンドプール。お問い合わせ CPU の箇条書きの完全なテキスト -- 1295 新しいパッチ, その Java SE が 55, 49 は、承認なしでリモートで使用できる -全文検索 CVE-2026-91403, 0 ヒット.

それはどういう意味ですか? アセットフローがCPUの「四半期CVEリスト」の場合、ループホールにつながり、修理をスケジュールします。決してあなたのリストに。お問い合わせ欠落しないと、データソースをカバーしないパイプです。

Oracle は、セキュリティアラートのパッチの効果に対するセキュリティアラートへの特別なパスを追加しました。プレミアサポートまたは拡張サポートフェーズのカバーバージョンのみ、サポートサイクルにないバージョンがテストされません。翻訳は -- 古いバージョンで私に探していません。

ちなみに、テーブルの2つのバージョンは上がっていません。

このピットは調査中に発見され、より警戒しています。

同じ10月のリズムでは、Java SEは8u503、11.0.32.1、17.0.20.1、1.01.12.1、25.04.4、6.2、27の2つの完全に異なるバージョンで登場しました。セキュリティアラート、8,511、11.0.33、17.0.21、1.01.1.3、25.0.5、27.0.1。

エラーではありません。 2つのアップデートです。「この四半期のCPUでやっている」と思い、同じバージョンではなかった。これらの状況の最も危険性はパッチの欠如ではありませんが、それらが安全であるという事実です。

II.ピットII:9.1分ではなくRCE

タイトルを見逃しやすくなります。

CVE-2026-91403 ベクトル CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nお問い合わせ

サイズ:	価値を取る	意味する
AV攻撃ベクトル	N (ネットワーク)	リモートアクセス
攻撃のAC複雑性	L (下)	事前に条件の束は必要ありません。
広報許可必須	N (なし)	認証なしで起動できます。
UIユーザーインタラクティブ	N (なし)	リンクについて誰にも嘘をつく必要はありません。
S 行動範囲	U(変更なし)	自社の安全なドメインに限られる影響
C 機密性	H (ハイ)	利用できる主要なデータ
私は完全性	H (ハイ)	キーデータの作成/削除/修正
空室状況	N (なし)	Oracleは、サービスの中断の影響を示しませんでした

最後の行はキーです。なし。

Oracle独自の記述は、アクセス権の不正な作成、削除、変更、およびキーデータへの不正なアクセスのためのものです。リモートコード例外は全然表示されません。

slangではありません。 9.1 ポイントは、C:H + I:H を保持しています。 — 読みやすく、修正され、破壊的です。しかし、「変更を読み込む」と「コードを強制できる」前者は、データ面が貫通し、後者は、マシン全体がシフトしていることを意味します。あなたは彼らに分数でランク付けし、あなたはそれらを意味しています。

Oracleは穴を言う。不信なコードを読み、実行するJavaのデプロイメントに影響を及ぼす可能性があります。典型的なシーンは、Java Web Start アプリケーションとサンドボックスのappletです。今では珍しいシーンですが、古いシステムに入ったら、身に着けたらサンドボックスの性質が変化するのでもうひとつのところです。

さらに、ピットの校正:OracleはCVSSスコアを明らかにしたApplet または WebStart を実行しているユーザーが管理者権限を持っていることを仮定します。(Windows共通) ユーザーが管理者(Solaris、Linuxで共通)でない場合、機密性、完全性、使いやすさに対する影響スコアは High から Low まで低下し、ベンチマークの割合が大きい。同じCVEは、異なるプラットフォームで完全に異なることができます。

3つ、1つの穴、3つの層。

2つのピットは、実際には同じ方法論的問題を指します。我々は、すべての分数でソートされます。, しかし、誰も意味論とソースを破る.

ループホールを見ているための3層フレームワーク:弾丸システム、スコーリングセマティクス、サプライチェーン

最初のレベル: 弾丸システム - どのプールで行くか

これは、自動パイプがそれを得ることができるかどうかを決定します。 CPU、セキュリティアラート、CSPUは異なるリズム、カバレッジ、さらにはURL構造で3つの異なるチャネルです。 CPU プロセスだけ、自然にすべての緊急の単一ポイントを欠落させます。

メーカーを取得するのが一番便利な方法です。掲示板マップへのCVE特定の発表ではなく、入り口だけを考慮してください。 Oracleは、任意のCPUページよりも信頼性が高く、CVEの独自のマップを諮問/アラートに提供しています。

第二レベル: 格付けの皮下 - 9.1 - ポイントは?

CVSSは、ランキングではなく、分解量です。 C:H/I:H/A:N 9.1 と C:H/I:H/A:H/A:H/A:H、9.1 は、処理優先事項が異なります。元は「データ改ざん」であり、後者は「サービスが空いている」と最初の2つである。

より実用的な:ベクトルがポイントを上回るのを見るのに便利です。AC:L + PR:N + UI:N, 一緒に撮影, 攻撃の顔が完全に開いていることを意味します, 任意の事前条件なし. 7のスコアでも、この穴は、リンクされている9つのポイントよりも使用される可能性が高いです。

レベル3:サプライチェーン - 誰の建設ですか?

Oracle JDKは、その1つです。 OpenJDK、クラウドメーカー向けのカスタムJDK、またはコンテナミラーにパックされたサードパーティのビルダーでオンラインで実行できます。CVEの修正は、ベンダーが上流パッチを入れなかったかどうかに応じて修正されず、Oracleの毛のないパッチは2つのことです。

Oracleの発表を見て、OracleのJDKバージョンを見てみませんか。働いていません。無用です。

お問い合わせ

バージョンを最初に確認します。実行! java -version上記表を比較します。 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 これらは、バージョンを回復させない影響を受けています。
CPUのみを購読しないでください。セキュリティアラートとCSPUを監視に統合し、CVE-to-Advisoryマップをエントリとして使用し、単一のページに依存しない。
ベクトルを開き、それをソートします。少なくともA(アベイラビリティ)項目をプルアウトし、「9.1」という単語を「9.1」に置き換えないでください。
ベンダーをチェックしてください。修理の本当の道です。
緩和措置にカウントしないでください。この発表では、Oracleは世界にそれを与えなかったし、クレジットステートメントはNoon Credite -- 誰がそれをしたか、バイパスによって書かれていました。パッチを当てる方法は1つしかありません。

別のアセットマネジメント項目があります。"publicity type" をフィールドとして保存します。CPUとセキュリティアラートは、SLAに応答して異なっているはずです - 前者は四半期の窓を通過することができ、後者は緊急プロセスに従います。時計では、シーズンの終端に緊急が遅れます。

V. ファイナル・ステートメント

このループホール自体、9.1ポイント、無許可、ネットワーク化可能、非対話的、読み出し可能 - それは修理され、優先されるべきです。

しかし、私はループホール自体ではなく、私が持っていたものだった...自分の視線から抜け出す方法は?: 四半期の弾丸に含まれていない緊急パッチ, 比類のないバージョン番号, RCEのない9.1ポイント. 隔離で起こる3つのことは致命的ではなく、一緒に来て、彼らは「私はやったと思ったが、私はそれらを見なかった」ように思います。

ループホールはひどくありません。プロセスに場所がないのは残念です。

ちなみに、データに注意を払って、自分でチェックするのは簡単です:四半期の間に、CPUは1295の新しいパッチの合計を持っていました。Java SEは、リモートで許可されていない55、49のために占めていました。 CVE-2026-91403はセキュリティアラート、21 10月2026、Rev 1、製品ラインとしてJava SEのみをカバーしました。

リンクはこちらOracleセキュリティアラート - CVE-2026-91403お問い合わせリスク・バイ・リスク・マトリックスのテキストを見たい場合は、掲示板ページへのリンクがあります。