Java heeft een 9,1 split maas, CVE-2026-91403, maar ik keek rond het Oracle bulletin en vond twee grote gaten.
Ten eerste luidt de conclusie:CVE-2026-91403 is waar, CVSS 3.1 beat 9.1, en inderdaad ernstig. Maar het staat niet in het CPU-bulletin van dit seizoen, en er is geen "codering" in 9,1 minuten.Als je het niet allemaal weet, krijg je het ritme en de volgorde verkeerd.
Dit gat werd door Oracle gepasseerd op 21 oktober 2026. Beveiligingsalarm Enkelpuntig, niet een van de Quarterly Patch Update. De componenten zijn JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, plus GraalVM voor JDK 17.02.13 en GraalVM EE 21.3.20.
En ik wil er graag op wijzen, bij titel, dat ik Oracle's bulletin systeem zou doornemen en twee pits zou vinden die meer waard zijn dan het gat zelf. Omdat deze twee kuilen niet het probleem zijn.Alle teams die aan het Kwartaal Sweeper Bulletin werken zullen erop ingaan.Ja.
Het zit niet in de CPU dit kwartaal.
Dit is de meest anti-intuïtieve. Veel mensen (waaronder ik een maand geleden) hebben een standaard op Oracle's security ritme: Kwartaal CPU, eenmaal in oktober, vegen 1295 patches en het is voorbij.
Maar Oracle's publieke aankondiging is eigenlijk drie pools:
- Katholieke Patch Update (CPU)- Driemaandelijkse partijen, allemaal samen.
- BeveiligingsalarmEen CVE kan een enkele pagina openen, niet geïntegreerd in het kwartaalritme.
- Creative Security Patch UpdateEen patch tussen de twee.
CVE-2026-91403.Tweede zwembad.Ik weet het niet. Ik ging door de volledige tekst van het CPU bulletin -- 1295 nieuwe patches, waarvan Java SE 55 was, 49 kon op afstand worden gebruikt zonder toestemming --Volledige tekst zoeken CVE-2026-91403, 0 hits.
Wat betekent dat? Als uw activastroom is een "kwartaal CVE lijst van CPU's, leiden tot de maas, plannen van de reparaties," het is een maas.Nooit op je lijst.Ik weet het niet. Het ontbreekt niet, het is de pijp die de databron niet dekt.
En Oracle voegde een speciale passage toe aan het veiligheidsalarm om de patches van Security AlertAlleen versies behandelen in de Premier Support of Extended Support fase, een versie die niet in de ondersteuningscyclus zal worden getest. Vertaling is -- kom me niet zoeken in de oude versie.
Trouwens, twee versies van de tabellen zijn niet omhoog.
Deze put werd ontdekt tijdens het onderzoek, en is nog alarmerender.
In hetzelfde ritme van oktober verscheen Java SE met twee compleet verschillende versies: CPU, bestaande uit 8u503, 11.0.32.1, 17.02.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8.511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Het is geen fout. Het zijn twee verschillende updates. Ik dacht, "Ik ben klaar met de CPU dit kwartaal," en het was niet dezelfde versie.De gevaarlijkste van deze omstandigheden is niet het ontbreken van patches, maar het feit dat ze veilig zijn gemaakt.
II. Pit II: 9,1 minuten, maar niet RCE
Het is subtieler en makkelijker om de titel te missen.
CVE-2026-91403 vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NMaak open.
| Afmetingen | Waarde innemen | Betekenis |
|---|---|---|
| AV Attack Vector | N (Netwerk) | Toegang op afstand |
| AC complexiteit van de aanval | L (laag) | Er zijn geen voorwaarden nodig. |
| PR-rechten vereist | N (geen) | Je kunt beginnen zonder authenticatie. |
| UI-gebruikersinteractief | N (geen) | Je hoeft tegen niemand te liegen over de link. |
| S Toepassingsgebied | U (geen wijziging) | Impact beperkt tot zijn eigen veilige domein |
| C Vertrouwelijkheid | H (hoog) | Toegankelijke sleutelgegevens |
| I Integriteit | H (hoog) | Belangrijke gegevens kunnen worden aangemaakt/gedeleteerd/gewijzigd |
| Beschikbaarheid | N (geen) | Oracle wees niet op de verstoringseffecten van de dienst |
De laatste regel is de sleutel.Geen.
Oracle's originele beschrijving is voor het ongeautoriseerd creëren, verwijderen of wijzigen van toegangsrechten, plus ongeautoriseerde toegang tot belangrijke gegevens.Het woord remote code uitzondering verschijnt niet overal.
Het is geen slang. 9.1 Het punt is C:H + I:H opgehouden leesbaar, gewijzigd, destructief. Maar "kan verandering lezen" en "kan elke code afdwingen." Er zijn twee dingen om mee om te gaan: het eerste betekent vaak dat het dataoppervlak dringt, en het laatste betekent dat de hele machine aan het verschuiven is. Je rangschikt ze in breuken, en je rangschikt ze in semantiek.
Oracle zegt het gat.Het kan invloed hebben op Java-implementaties die onbetrouwbare codes laden en uitvoeren.De typische scène is de Java Web Start applicatie en applet in de zandbak, onder de Java zandbak. Het is een zeldzame scène nu, maar als je het in je oude systeem hebt, is het iets anders omdat de aard van de zandbak verandert als het eenmaal gedragen is.
Plus, de kalibratie van de put: Oracle duidelijk zei zijn CVSS scoreErvan uitgaande dat gebruikers die applet of WebStart uitvoeren beheerdersrechten hebben(Windows common) Wanneer de gebruiker geen beheerder is (vaak op Solaris, Linux), wordt de impactscore voor vertrouwelijkheid, integriteit en bruikbaarheid gereduceerd van High naar Low, gevolgd door een groot percentage van de benchmark.Dezelfde CVE kan volledig verschillend zijn op verschillende platformen.
Drie, één gat, drie lagen.
De twee putten wijzen eigenlijk op dezelfde methodologische kwestie:We zijn allemaal gesorteerd in fracties, maar niemand breekt de semantiek en de bronnen.
Eerste niveau: bulletin systeem - in welke pool het gaat
Dit bepaalt of uw geautomatiseerde pijp het kan krijgen. CPU, Security Alert, CSPU zijn drie verschillende kanalen, met verschillende ritmes, dekking en zelfs URL-structuren. Alleen het CPU proces, natuurlijk ontbreekt alle nood enkele punten.
De minst handige manier om dat te doen is om de fabrikant te krijgen.CVE naar de bulletinkaartBeschouw het als de enige ingang, geen specifieke aankondiging. Oracle biedt zijn eigen Kaart van CVE aan Advisory / Alert, die betrouwbaarder is dan elke CPU pagina.
Tweede niveau: de semantiek van de rating - 9.1 - welke zijn de punten?
CVSS is een ontbindingsbedrag, geen rangschikking. C:H/I:H/A:N 9.1 en C:H/I:H/A:H:H, 9.1, de verwijderingsprioriteit moet anders zijn dan de eerste waarbij de gegevens geknoeid zijn en de laatste wordt opgehangen met de eerste twee.
Praktischer:Het is handig om vectoren over punten te zien.AC:L + PR:N + UI:N, samen genomen, betekent dat het gezicht van de aanval volledig open is, zonder enige voorwaarden. Zelfs met een score van zeven, is dit gat veel waarschijnlijker te gebruiken dan die negen punten die zijn gekoppeld.
Niveau 3: Supply chain - Wiens bouw is het?
Oracle JDK is er maar één van. U kunt online draaien met een distributie bouwer van OpenJDK, een aangepaste JDK voor een cloud fabrikant, of een derde-partij bouwer verpakt in een container spiegel.CVE fixes zijn niet vast, afhankelijk van of die leverancier niet de upstream patch in, en Oracle haarloze patch is twee dingen.
Dus kijk niet naar Oracle's aankondiging en kijk naar zijn Oracle JDK versie -- zoek uit wie je echt bent. Het werkt niet. Het is nutteloos.
Wat moeten we doen?
- Bevestig eerst de versie.Rennen!
java -versionVergelijk de bovenstaande tabel. 8u511 / 11,0,33 / 17,0.21 / 21,0.13 / 25.0.5 / 27.0.1 Deze worden beïnvloed en niet hersteld versies. - Abonneer je niet alleen op CPU.Integreert de beveiliging Alert en CSPU in de surveillance, met behulp van de CVE-naar-Advisory kaart als een vermelding en niet vertrouwen op een enkele pagina.
- Open de vector en sorteren.Trek ten minste het A (beschikbaarheid) item eruit en vervang het woord "9.1" niet door het woord "9.1."
- Kijk eens, verkoper.Dat is het echte pad om te herstellen.
- Reken niet op mitigatiemaatregelen.In deze aankondiging gaf Oracle het niet aan de wereld, en de kredietverklaringen werden geschreven door Noon Credite -- noch door wie het deed, noch door de bypass. Er is maar één manier om dit op te lossen.
Er is nog een item voor vermogensbeheer:Bewaar het woord "publicity type" als een veld.CPU en Security Alert zouden anders moeten zijn in reactie op SLA - de eerste kan gaan door kwartaalvensters en de laatste volgt een noodproces. In een horloge wordt de noodsituatie uitgesteld tot het einde van het seizoen.
V. CONTEXT VAN DE SLOTBEPALINGEN
Deze maas zelf, 9.1 punten, ongeautoriseerd, netwerkbaar, niet-interactief, leesbaar moet worden gerepareerd en prioriteit.
Maar wat het me bracht was niet de maas zelf, maar het was...Hoe is het uit mijn zicht geraakt?: een noodpatch die niet in het kwartaalbulletin is opgenomen, een ongeëvenaard versienummer, een 9,1 punt zonder RCE. De drie dingen die in isolatie gebeuren zijn niet fataal, en ze komen samen en zeggen: "Ik dacht dat ik klaar was, maar ik heb ze niet gezien."
Het gat is niet verschrikkelijk, het is verschrikkelijk dat je geen plaats hebt in je proces.
Trouwens, neem een notitie van de gegevens en maak het makkelijker voor u om jezelf te controleren: tijdens het kwartaal, CPU had een totaal van 1295 nieuwe patches, Java SE goed voor 55, 49 waarvan waren op afstand onbevoegd; CVE-2026-91403 ging Security Alert, 21 oktober 2026, Rev 1, die alleen Java SE als een productlijn.
Hier is de link:Oracle Security Alert CVE-2026-91403Ik weet het niet. Als je de tekst van de risico-voor-risico matrix wilt zien, is er een link op de bulletin pagina.