Java tem uma brecha de 9,1 partes, CVE-2026-91403, mas eu olhei em volta do boletim da Oracle e encontrei dois grandes buracos.
Em primeiro lugar, a conclusão é que:CVE-2026-91403 é verdade, CVSS 3.1 batida 9.1, e realmente grave. Mas não está no boletim da CPU desta temporada, e não há "codificação" em 9,1 minutos.Se não perceberes tudo, vais perceber mal o ritmo e a ordem.
Este buraco foi passado pela Oráculo em 21 de outubro de 2026. Alerta de segurança Um único ponto, não um da atualização de patch trimestral. Os componentes são JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, mais GraalVM para JDK 17.02.13 e GraalVM EE 21.3.20.
E eu gostaria de salientar, por título, que eu iria sobre o sistema de boletim da Oracle e encontrar dois poços vale a pena escrever mais do que o próprio buraco. Porque estes dois poços não são o problema.Todas as equipas que trabalham no Quarterly Sweeper Bulletin vão pisar nele.Sim.
I. Pit One: Não está na CPU neste trimestre.
Este é o mais anti-intuitivo. Muitas pessoas (incluindo eu há um mês) têm um padrão no ritmo de segurança da Oracle: CPU trimestral, uma vez em outubro, varrer 1295 patches e acabou.
Mas o anúncio público da Oracle são na verdade três piscinas:
- Atualização de patch católica (CPU)- Batalhões trimestrais, todos juntos.
- Alerta de segurança— Pontos únicos urgentes, não integrados no ritmo trimestral, uma CVE pode abrir uma única página.
- Atualização de patch de segurança criativa— Um remendo entre os dois.
CVE-2026-91403.Segunda piscina.Não sei. Passei pelo texto completo do boletim da CPU -- 1295 novos patches, dos quais o Java SE tinha 55, 49 podiam ser usados remotamente sem autorização --Pesquisa de texto completa CVE-2026-91403, 0 hits.
O que significa isso? Se o fluxo de ativos é uma "lista trimestral de CPUs CVE, leve à brecha, agende os reparos", é uma brecha.Nunca na tua lista.Não sei. Não está faltando, é o cano que não cobre a fonte de dados.
E a Oracle adicionou uma passagem especial ao Alerta de Segurança para o efeito de que os patches do Alerta de SegurançaCobrir apenas versões na fase Suporte Premier ou Suporte Estendido, uma versão que não esteja no ciclo de suporte não será testada. A tradução é... Não venhas à minha procura na versão antiga.
A propósito, duas versões das tabelas não estão em cima.
Este poço foi descoberto durante a investigação, e é ainda mais alarmante.
No mesmo ritmo de outubro, Java SE apareceu com duas versões completamente diferentes: CPU, incluindo 8u503, 11.0.32.1, 17.0.20.1, 1.01.12, 25.04.4, 6.2, 27; Alerta de Segurança, 8.511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Não é um erro. São duas atualizações diferentes. Pensei: "Terminei com a CPU neste trimestre", e não era a mesma versão.A mais perigosa destas circunstâncias não é a ausência de patches, mas o fato de que eles são feitos seguros.
II. Poço II: 9,1 minutos, mas não RCE
É mais sutil e mais fácil perder o título.
Vetor CVE-2026-91403 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NAbre.
| Dimensões | Valorizar | Significado |
|---|---|---|
| Vetor de ataque AV | N (Rede) | Acesso remoto |
| Complexidade AC do ataque | L (baixo) | Não há necessidade de um monte de condições. |
| Permissões de RP necessárias | N (nenhuma) | Você pode começar sem autenticação. |
| Utilizador Interativo da UI | N (nenhuma) | Não tens de mentir a ninguém sobre a ligação. |
| S Âmbito de acção | U (sem alteração) | Impacto limitado ao seu próprio domínio seguro |
| C Confidencialidade | H (Alto) | Dados-chave acessíveis |
| I Integridade | H (Alto) | Os dados-chave podem ser criados/ apagados/ modificados |
| A Disponibilidade | N (nenhuma) | A Oracle não indicou os efeitos de perturbação do serviço |
A última linha é a chave.Nenhuma.
A descrição original da Oracle é para criação, exclusão ou modificação não autorizada de direitos de acesso, além de acesso não autorizado a dados chave.A palavra exceção de código remoto não aparece ao longo.
Não é gíria. 9.1 O ponto é C:H + I:H resistido — legível, modificado, destrutivo. Mas "pode ler mudança" e "pode impor qualquer código." Há duas coisas com que lidar: a primeira muitas vezes significa que a superfície de dados está penetrando, e a segunda significa que toda a máquina está mudando. Você as classifica em frações, e as classifica em semântica.
Mais um detalhe: Oráculo diz o buraco.Isso poderia afetar as implantações Java que carregam e executam códigos não confiáveis.A cena típica é o aplicativo Java Web Start e applet na sandbox, sob a sandbox Java. É uma cena rara agora, mas se você tem isso em seu sistema antigo, é outra coisa porque a natureza da caixa de areia muda uma vez que é usado.
Além disso, a calibração do poço: Oracle disse claramente sua pontuação CVSSSuponha que os usuários executando applet ou WebStart tenham privilégios de administrador(Windows comuns) Quando o usuário não é um administrador (comum em Solaris, Linux), o escore de impacto para confidencialidade, integridade e usabilidade é reduzido de Alto para Baixo, seguido por uma grande porcentagem do benchmark.O mesmo CVE pode ser completamente diferente em diferentes plataformas.
Três, um buraco, três camadas.
Os dois poços apontam para a mesma questão metodológica:Estamos todos ordenados em frações, mas ninguém quebra a semântica e as fontes.
Primeiro nível: sistema de boletim - em que piscina vai
Isso determina se seu tubo automatizado pode obtê-lo. CPU, Security Alert, CSPU são três canais diferentes, com ritmos diferentes, cobertura e até estruturas de URL. Apenas o processo de CPU, naturalmente faltando todos os pontos de emergência.
A maneira menos conveniente de fazer isso é obter o fabricante.CVE ao mapa do boletimConsidere-a a única entrada, não um anúncio específico. A Oracle fornece seu próprio Mapa de CVE para Consultoria/Alert, que é mais confiável do que qualquer página da CPU.
Segundo nível: a semântica da classificação - 9.1 - quais são os pontos?
CVSS é uma quantidade de decomposição, não uma classificação. C:H/I:H/A:N 9.1 e C:H/I:H/A:H:H,9.1, a prioridade de eliminação deve ser diferente — a primeira sendo “dados adulterados” e a segunda sendo “serviços suspensos” mais as duas primeiras.
Mais prático:É útil ver vetores sobre pontos.AC:L + PR:N + UI:N, tomados em conjunto, significa que a face do ataque está completamente aberta, sem condições prévias. Mesmo com uma pontuação de sete, este buraco é muito mais provável de ser usado do que aqueles nove pontos que estão ligados.
Nível 3: Cadeia de suprimentos - De quem é a construção?
O Oracle JDK é apenas um deles. Você pode correr online com um construtor de distribuição do OpenJDK, um JDK personalizado para um fabricante de nuvem, ou um construtor de terceiros embalado em um espelho de recipiente.As correções CVE não são fixas, dependendo se esse fornecedor não colocou o patch upstream, e o patch Oracle é duas coisas.
Então não olhe para o anúncio da Oracle e olhe para sua versão do Oracle JDK -- descubra quem você realmente é. Não está a funcionar. É inútil.
O que devemos fazer?
- Confirme a versão primeiro.Corre!
java -version, compare a tabela acima. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Estes são afetados e não versões restauradas. - Não se inscreva apenas na CPU.Integra o Alerta de Segurança e o CSPU na vigilância, usando o mapa CVE-para-Advisory como entrada e não contando com uma única página.
- Abra o vetor e organize-o.Pelo menos retire o item A (disponibilidade) e não substitua a palavra "9.1" pela palavra "9.1".
- Olha só, vendedor.Esse é o verdadeiro caminho para reparar.
- Não conte com medidas de atenuação.Neste anúncio, a Oracle não o deu ao mundo, e os extratos de crédito foram escritos por Noon Crede -- nem por quem o fez, nem pelo bypass. Só há uma maneira de resolver isto.
Há outro item de gestão de ativos:Salve a palavra "tipo de publicidade" como um campo.A CPU e o Alerta de Segurança deveriam ter sido diferentes na resposta ao SLA - o primeiro pode passar por janelas trimestrais e o segundo segue um processo de emergência. Em um relógio, a emergência é adiada para o final da temporada.
V. CONTEXTO DA DECLARAÇÃO FINAL
Esta lacuna em si, 9.1 pontos, não autorizado, networkable, não-interativo, legível - ele deve ser reparado e priorizado.
Mas o que me trouxe não foi a falha em si, mas foi...Como saiu da minha vista?: um patch de emergência não incluído no boletim trimestral, um número de versão incomparável, um ponto 9.1 sem RCE. As três coisas que acontecem em isolamento não são fatais, e elas se juntam e dizem: "Pensei que tinha acabado, mas não as vi."
A brecha não é terrível, é terrível que você não tenha lugar no seu processo.
A propósito, tomar uma nota dos dados e torná-lo mais fácil para você mesmo verificar: durante o trimestre, CPU tinha um total de 1295 novos patches, Java SE foi responsável por 55, 49 dos quais eram remotamente não autorizados; CVE-2026-91403 foi alerta de segurança, 21 outubro 2026, Rev 1, que cobriu apenas Java SE como uma linha de produto.
Aqui está o link:Alerta de segurança Oracle – CVE-2026-91403Não sei. Se você quer ver o texto da matriz risco por risco, há um link na página de boletim.