Java memiliki 9.1 celah celah celah, CVE-2026-91403, tapi aku melihat sekitar buletin Oracle dan menemukan dua lubang besar.
Pertama, kesimpulannya adalah:CVE-2026-91403 benar, CVSS 3.1 mengalahkan 9.1, dan memang serius. Namun tidak ada dalam buletin CPU musim ini, dan tidak ada "coding" dalam 9.1 menit.Jika Anda tidak mendapatkan semuanya tahu, Anda akan mendapatkan ritme dan urutan yang salah.
Lubang ini dilewati oleh Oracle pada 21 Oktober 2026. Alert Keamanan Aware Satu poin, bukan satu dari Quarterly Patch Update. Komponen-komponennya adalah JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, ditambah GraalVM untuk JDK 17.02.13 dan GraalVM EE 21.3.20.
Dan saya ingin menunjukkan, dengan judul, bahwa saya akan pergi ke sistem buletin Oracle dan menemukan dua pit layak menulis lebih dari lubang itu sendiri. Karena kedua lubang ini bukan masalahnya.Semua tim yang bekerja di Quarterly Sweeper Bulletin akan menginjaknya.Yeah.
Tidak ada di CPU kuartal ini.
Ini adalah yang paling anti-intuitif. Banyak orang (termasuk saya sebulan yang lalu) memiliki default pada ritme keamanan Oracle: Quarterly CPU, sekali di bulan Oktober, menyapu 1295 patch dan itu sudah berakhir.
Tapi pengumuman publik Oracle sebenarnya tiga kolam:
- Update Patch Katolik (CPU)- Kuarterly kelompok, semua bersama-sama.
- Alert Keamanan AwareKata - kata yang mendesak, bukan diintegrasikan ke dalam ritme triwulanan, sebuah CVE mungkin membuka satu halaman.
- Update Patch Keamanan KreatifWatak antara keduanya.
AVE-2026-91403.Kolam renang kedua.Aku tidak tahu. Aku memeriksa teks lengkap buletin CPU -- 1295 patch baru, yang mana Java SE 55, 49 dapat digunakan secara jauh tanpa otorisasi --Full text pencarian CVE-2026-91403, 0 hits.
Apa artinya? Jika aliran aset Anda adalah daftar CVE dari CPU, mengarah ke celah, jadwal perbaikan," itu adalah celah.Tak pernah ada dalam daftarmu.Aku tidak tahu. Ini tidak hilang, itu pipa yang tidak meliputi sumber data.
Dan Oracle menambahkan jalan khusus ke Security Alert untuk efek bahwa keamanan Alert patchHanya versi sampul di fase Support Premier atau Support Extended, versi yang tidak dalam siklus dukungan tidak akan diuji. Terjemahan terjemahan adalah -- jangan mencariku dalam versi lama.
By the way, dua versi tabel tidak up.
Lubang ini ditemukan selama penyelidikan, dan bahkan lebih mengkhawatirkan.
Dalam irama Oktober yang sama, Java SE muncul dengan dua versi yang sama sekali berbeda: CPU, comprising 8u503, 11.0.321., 17.0.20.1.1.1.12.1, 25.04.4, 6.2, 27; Security Alert, 8.511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Ini bukan kesalahan. Ini dua pembaruan yang berbeda. Saya pikir, "saya sudah selesai dengan CPU kuartal ini," dan itu bukan versi yang sama.Yang paling berbahaya dari keadaan ini bukanlah ketiadaan patch, tetapi fakta bahwa mereka dibuat aman.
II. Pit II: 9.1 menit, tapi tidak RCE
Lebih halus dan mudah melewatkan gelar.
Vektor CVE-2026-91403 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBukalah.
| Dimensi | Nilai diambil | Arti |
|---|---|---|
| Vektor AV Attack | (Rangkaian) | Akses jauh dari jauh |
| Kerumitan serangan AC | (low) | Tidak perlu untuk sekelompok prekondisi. |
| Memerlukan izin PR | N (none) | Kau bisa mulai tanpa otentikasi. |
| Diasinkan oleh Pengguna UI | N (none) | Kau tak perlu berbohong pada siapapun tentang link itu. |
| Skop Skop Aksi | Tidak ada perubahan | Impact yang terbatas pada domain aman sendiri |
| Rahasia C Tak Khayalan | ♪ H (Tinggi) | Data kunci tak dapat diakses |
| Integritas | ♪ H (Tinggi) | Data kunci dapat dibuat/ dihapus/diubah suai |
| Ketersediaan | N (none) | Peramal Oracle tidak menunjukkan efek gangguan layanan |
Garis terakhir adalah kuncinya.Tidak ada.
Deskripsi asli Oracle adalah untuk pembuatan yang tidak sah, penghapusan atau pengubahsuaian hak akses, ditambah akses yang tidak sah ke data kunci.Kata pengecualian kode remote tidak muncul di seluruh.
Ini bukan slang. Intinya adalah C:H + I:H ditahan — dapat dibaca, dimodifikasi, merusak. Tapi "dapat membaca perubahan" dan "dapat menegakkan kode apapun." Ada dua hal yang harus dihadapi: yang sebelumnya sering berarti bahwa permukaan data menembus, dan yang terakhir berarti bahwa seluruh mesin bergeser. Anda pangkat mereka dalam pecahan, dan Anda peringkat mereka dalam semantik.
Oracle bilang lubangnya.Ini bisa mempengaruhi penyebaran Java yang memuat dan menjalankan kode tidak dipercaya.Babak tipikal adalah aplikasi dan aplet Java Web Start di dalam kotak pasir, di bawah kotak pasir Java. Ini adalah adegan langka sekarang, tetapi jika Anda memilikinya dalam sistem lama Anda, itu hal lain karena sifat perubahan kotak pasir setelah itu dipakai.
Ditambah lagi, kalibrasi pit: Oracle jelas mengatakan skor CVSSAsumsikan bahwa pengguna menjalankan aplet atau WebStart memiliki hak akses administrator(Windows umum) Saat pengguna bukan seorang administrator (common on Solaris, Linux), skor dampak untuk kerahasiaan, integritas dan kemampuan usabilitas dikurangi dari High to Low, diikuti dengan persentase besar dari benchmark.CVE yang sama dapat benar-benar berbeda pada platform yang berbeda.
Tiga, satu lubang, tiga lapisan.
Dua lubang itu sebenarnya menunjukkan masalah metodologis yang sama:Kita semua diurutkan dalam pecahan, tapi tidak ada yang mematahkan semantik dan sumber.
Tingkat pertama: sistem buletin - di mana kolam itu pergi
Ini menentukan apakah pipa otomatis Anda bisa mendapatkannya. CPU, Security Alert, CSPU adalah tiga saluran yang berbeda, dengan ritme yang berbeda, cakupan dan bahkan struktur URL. Hanya proses CPU, secara alami hilang semua titik tunggal darurat.
Cara yang paling tidak nyaman untuk melakukan itu adalah untuk mendapatkan produsen.SVE ke peta buletinAnggap saja satu-satunya pintu masuk, bukan pengumuman khusus. Oracle menyediakan sendiri Map of CVE to Advisory/Alert, yang lebih dapat diandalkan daripada halaman CPU manapun.
Level kedua: semantik peringkat - 9,1 - yang mana poinnya?
CVS adalah jumlah dekomposisi, bukan peringkat. C:H/I:H/A:N 9.1 dan C:H/I:H/A:H:H, 9.1, prioritas pembuangan harus berbeda — yang sebelumnya \"didata\" dan yang terakhir adalah \"layanan ditutup\" ditambah dua yang pertama.
Lebih praktis lagi:Ini berguna untuk melihat vektor di atas poin.AC:L + PR:N + UI:N, diambil bersama-sama, berarti bahwa wajah serangan benar-benar terbuka, tanpa ada prekondisi. Bahkan dengan skor tujuh, lubang ini jauh lebih mungkin digunakan daripada sembilan poin yang dihubungkan.
Level 3: rantai pasokan - konstruksi siapa itu?
Oracle JDK hanya salah satunya. Anda mungkin berjalan online dengan pembangun distribusi OpenJDK, JDK langganan untuk pabrikan awan, atau pembangun pihak ketiga yang dikemas ke dalam cermin kontainer.Perbaikan CVE tidak diperbaiki, tergantung pada apakah vendor itu tidak menempatkan patch hulu, dan Oracle hairless patch adalah dua hal.
Jadi jangan lihat pengumuman Oracle dan lihat versi JDK Oracle-nya -- cari tahu siapa kau sebenarnya. Ini tidak bekerja. Tak ada gunanya.
Apa yang harus kita lakukan?
- Konfirmasi versi pertama.Lari!
java -version, bandingkan meja di atas. 1 / 11 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Ini terpengaruh dan tidak dikembalikan versi. - Jangan langgan hanya ke CPU.Herincarte alert keamanan dan CSPU ke dalam pengawasan, menggunakan peta CVE-ke-Advisory sebagai entri dan tidak mengandalkan satu halaman pun.
- Buka vektor dan urutkan.Setidaknya mengeluarkan barang A (tersedia) dan tidak mengganti kata "9.1" dengan kata "9.1".
- Lihat ini, vendor.Itu jalan yang benar untuk diperbaiki.
- Jangan mengandalkan langkah-langkah mitigasi.Dalam pengumuman ini, Oracle tidak memberikannya kepada dunia, dan pernyataan kredit ditulis oleh Noon Credite -- baik oleh siapa yang melakukannya, maupun bypass. Hanya ada satu cara untuk memperbaiki ini.
Ada aset-manajemen lain:Simpan kata "publicity type" sebagai lapangan.CPU dan Security Alert seharusnya berbeda dalam menanggapi SLA - yang sebelumnya dapat melalui jendela triwulan dan yang terakhir mengikuti proses darurat. Dalam sebuah arloji, keadaan darurat ditunda hingga akhir musim.
V. KONTEKSI PERATURAN FINAL
Lubang ini sendiri, 9,1 poin, tidak sah, dapat dijaringan, tidak interaktif, dapat dibaca — harus diperbaiki dan diprioritaskan.
Tapi apa yang membawa saya bukan celah itu sendiri, tapi itu ...Bagaimana itu bisa keluar dari pandanganku?Sebuah patch darurat tidak termasuk dalam buletin triwulanan, sebuah nomor versi tidak tertandingi, sebuah 9,1 titik tanpa RCE. Tiga hal yang terjadi dalam isolasi tidak fatal, dan mereka datang bersama-sama dan mereka seperti, "aku pikir aku sudah selesai, tapi aku tidak melihat mereka."
Lubang celah tidak mengerikan, mengerikan bahwa Anda tidak memiliki tempat dalam proses Anda.
By the way, mengambil catatan data dan memudahkan Anda untuk memeriksa diri sendiri: selama kuartal, CPU memiliki total 1295 patch baru, Java SE accounted untuk 55, 49 di antaranya tidak sah jarak jauh; CVE-2026-91403 pergi Security Alert, 21 October 2026, Rev 1, yang hanya meliputi Java SE sebagai lini produk.
Ini linknya:Waspada Keamanan Oracle Oracle – CVE-2026-91403Aku tidak tahu. Jika Anda ingin melihat teks matriks risiko-oleh-risk, ada link di halaman buletin.