Java har et 9,1 split loophole, CVE-2026-91403, men jeg så rundt Oracle bulletin og fant to store hull.
For det første er konklusjonen at:CVE-2026-91403 er sant, CVSS 3.1 slå 9,1 og faktisk alvorlig. Men det er ikke i denne sesongens CPU-bulletin, og det er ingen - koding - på 9,1 minutter.Hvis du ikke forstår alt, får du rytmen og ordren feil.
Dette hullet ble passert av Oracle den 21. oktober 2026. Sikkerhetsvarsel Single-pointed, ikke en fra Quarterly Patch Update. Komponentene er JSSE 8u511, 11.0,33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, pluss GraalVM for JDK 17.02.13 og GraalVM EE 21.3.20.
Og jeg vil påpeke at jeg vil gå over Oracles bulletinsystem og finne to groper verdt å skrive mer enn hullet. Fordi disse to pitene ikke er problemet.Alle lag som jobber på Quarterly Sweeper Bulletin vil gå på det.Ja.
I. Pit One: Det er ikke i CPU i dette kvartalet.
Dette er den mest anti-intuitive. Mange mennesker (inkludert meg for en måned siden) har en standard på Oracles sikkerhetsrytme: Kvartal CPU, en gang i oktober, feie 1295 flekker og det er over.
Men Oracles offentlige kunngjøring er faktisk tre basseng:
- Catholic Patch Update (CPU)- Kvart parti sammen.
- Sikkerhetsvarsel— Urgent enkelt prikker, ikke integrert i kvartalsrytmen, kan en CVE åpne en enkelt side.
- Creative Security Patch Update- En lapp mellom de to.
CVE-2026-91403.Andre basseng.Jeg vet ikke. Jeg gikk gjennom hele teksten i CPU bulletin - 1295 nye flekker, hvorav Java SE var 55, 49 kunne brukes eksternt uten autorisasjon --Fulltekstsøk CVE-2026-91403, 0 treff.
Hva betyr det? Hvis din ressursstrøm er en " kvart CVE-liste over CPUer, føre til sløyfehullet, planlegge reparasjonene," det er et sløyfehull.Aldri på listen din.Jeg vet ikke. Den mangler ikke, det er røret som ikke dekker datakilden.
Og Oracle la til en spesiell passasje til sikkerhetsvarselet til effekten som sikkerhetsvarselets flekkerBare dekker versjoner i Premier Support eller Extended Support-fasenEn versjon som ikke er i støttesyklusen vil ikke bli testet. Oversettelse er - ikke komme på jakt etter meg i den gamle versjonen.
Forresten er to versjoner av tabellene ikke oppe.
Denne gropen ble oppdaget under undersøkelsen, og er enda mer alarmerende.
I samme oktober rytme, Java SE dukket opp med to helt forskjellige versjoner: CPU, omfattende 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Sikkerhetsvarsel, 8.511, 11.0,33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Det er ikke en feil. Det er to forskjellige oppdateringer. Jeg tenkte: Jeg er ferdig med CPU dette kvartalet, og det var ikke den samme versjonen.Den farligste av disse forholdene er ikke fravær av flekker, men det faktum at de er gjort trygt.
II. Pit II: 9.1 minutter, men ikke RCE
Det er mer subtilt og lettere å savne tittelen.
CVE-2026-91403 vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NÅpne den.
| Dimensjoner | Ta verdi | Betydning |
|---|---|---|
| AV Attack Vector | N (nettverk) | Ekstern tilgang |
| AC kompleksitet av angrep | L (lav) | Det er ikke behov for en rekke forutsetninger. |
| PR-løyve kreves | N (ingen) | Du kan starte uten autentisering. |
| UI brukerinteraktiv | N (ingen) | Du trenger ikke å lyve for noen om linken. |
| Handlingsomfang | U (ingen endring) | Impact begrenset til eget sikkert domene |
| Konfidensialitet | H (høy) | Nøkkeldata tilgjengelig |
| I Integrity | H (høy) | Nøkkeldata kan opprettes/ slettes/endres |
| En tilgjengelighet | N (ingen) | Oracle indikerte ikke forstyrrelsene av tjenesten |
Siste linje er nøkkelen.Ingen.
Oracles opprinnelige beskrivelse er for uautorisert opprettelse, sletting eller endring av tilgangsrettigheter, samt uautorisert tilgang til nøkkeldata.Ordet unntak fra fjernkode vises ikke gjennom hele.
Det er ikke slang. 9.1 Punktet er C:H + I:H holdt oppe — lesbar, modifisert, destruktiv. Men " kan lese endring" og " kan håndheve noen kode." Det er to ting å håndtere: den tidligere betyr ofte at dataoverflaten penetrerer, og den sistnevnte betyr at hele maskinen skifter. Du rangerer dem i fraksjoner, og du rangerer dem i semantikk.
En detalj til: Oracle sier hullet.Det kan påvirke Java-utdelinger som laster og kjører upålitelige koder.Den typiske scenen er Java Web Start-applikasjonen og applet i sandboksen, under Java-sandboksen. Det er en sjelden scene nå, men hvis du har det i det gamle systemet, er det en annen ting fordi arten av sandkassen endres når den er slitt.
I tillegg, kalibreringen av gropen: Oracle tydelig sagt sin CVSS scoreAnta at brukere som kjører applet eller WebStart har administratorprivilegier(Windows vanlig) Når brukeren ikke er en administrator (vanlig på Solaris, Linux), reduseres konsekvensscoren for konfidensialitet, integritet og brukbarhet fra høy til lav, etterfulgt av en stor prosentdel av referanseverdien.Den samme CVE kan være helt annerledes på ulike plattformer.
Tre, ett hull, tre lag.
De to pitene peker faktisk på det samme metodiske problemet:Vi er alle sortert i fraksjoner, men ingen bryter semantikken og kildene.
Første nivå: bulletinsystem - der bassenget det går
Dette avgjør om ditt automatiserte rør kan få det. CPU, Security Alert, CSPU er tre forskjellige kanaler, med ulike rytmer, dekning og selv URL-strukturer. Bare prosessorprosessen, naturlig mangler alle nødspunkt.
Den mest praktiske måten å gjøre det på er å få produsenten.CVE til informasjonskartetTenk på den eneste inngangen, ikke en bestemt kunngjøring. Oracle gir sitt eget kart over CVE til Advisory/Alert, som er mer pålitelig enn noen CPU-side.
Andre nivå: semantikkene til rangeringen - 9,1 - som er poengene?
CVSS er et dekomponeringsbeløp, ikke en rangering. C:H/I:H/A:N 9,1 og C:H/I:H/A:H:H, 9,1, bør avhendingsprioriteten være forskjellig — den tidligere er \"datamanipulert\" og den sistnevnte er \"tjenester hengt opp\" pluss de to første.
Mer praktisk:Det er nyttig å se vektorer over poeng.AC:L + PR:N + UI:N, tatt sammen, betyr at ansiktet på angrepet er helt åpent, uten forutsetninger. Selv med en poengsum på syv, er dette hullet mye mer sannsynlig å bli brukt enn de ni poengene som er knyttet.
Nivå 3: Forsyningskjede - Hvems konstruksjon er det?
Oracle JDK er bare en av dem. Du kan kjøre online med en distribusjonsbygger av OpenJDK, en egendefinert JDK for en skyprodusent, eller en tredjepartsbygger pakket i et beholderspeil.CVE-rettinger er ikke fikset, avhengig av om den leverandøren ikke satte oppstrømsplasteret i, og Oracle hårløs lapp er to ting.
Så ikke se på Oracles kunngjøring og se på hans Oracle JDK-versjon - finne ut hvem du virkelig er. Det virker ikke. Det er ubrukelig.
Hva skal vi gjøre?
- Bekreft versjonen først.Løp!
java -versionSammenlign tabellen ovenfor. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Disse er påvirket og ikke restaurert versjoner. - Ikke abonner bare på CPU.Integrer sikkerhetsvarsel og CSPU i overvåkingen ved å bruke CVE-til-advisory-kartet som en inngang og ikke stole på en enkelt side.
- Åpne vektoren og sorter den.I det minste trekk ut A-elementet (tilgjengelighet) og ikke erstatte ordet-9.1" med ordet-9.1".
- Sjekk det ut, selger.Det er den virkelige veien til å reparere.
- Ikke tell på lindringstiltak.I denne kunngjøringen ga Oracle det ikke til verden, og kredittutsagnene var skrevet av Noon Credite - verken av hvem som gjorde det, eller ved omgrepet. Det er bare én måte å feste dette på.
Det er en annen eiendomsforvaltningspost:Lagre ordet " offentlighet type som et felt.CPU og sikkerhetsvarsel bør ha vært forskjellig i å svare på SLA - den tidligere kan gå gjennom kvartalsvinduer og sistnevnte følger en nødprosess. I en klokke er nødsituasjonen forsinket til slutten av sesongen.
V. SAMTEKONTAKT I ANGIVELSEN
Dette loophole i seg selv, 9,1 poeng, uautorisert, nettverksbar, ikke-interaktiv, lesbar - det bør repareres og prioriteres.
Men det som kom med meg var ikke selve sløyfehullet, men det var...Hvordan kom det seg ut av synet mitt?: en nødpatch som ikke er inkludert i kvartalsnotatet, et uovertruffen versjonsnummer, et 9,1 poeng uten RCE. De tre tingene som skjer i isolasjon er ikke dødelige, og de kommer sammen og de er som, - jeg trodde jeg var ferdig, men jeg så dem ikke.
Loophullet er ikke forferdelig, det er forferdelig at du ikke har noe sted i prosessen din.
Forresten, ta en melding om dataene og gjør det lettere for deg å sjekke deg selv: i løpet av kvartalet hadde CPU i alt 1295 nye flekker, Java SE utgjorde 55, 49 av dem var fjernt uautoriserte; CVE-2026-91403 gikk Security Alert, 21 oktober 2026, Rev 1, som dekket bare Java SE som en produktlinje.
Her er linken:Oracle Security Alert – CVE-2026-91403Jeg vet ikke. Hvis du vil se teksten til risiko-for-risiko matrisen, er det en lenke på bulletinsiden.