Java are o portiţă de 9.1 divizată, CVE-2026-91403, dar m-am uitat în jurul buletinului Oracle şi am găsit două găuri mari.
În primul rând, concluzia este că:CVE-2026-91403 este adevărat, CVSS 3.1 bate 9.1 și într-adevăr serios. Dar nu e în buletinul CPU din acest sezon, şi nu există codare în 9.1 minute.Dacă nu-ţi dai seama, vei înţelege greşit ritmul şi ordinea.
Această gaură a fost trecută de Oracle pe 21 octombrie 2026. Alertă de securitate Un singur punct, nu unul de la Quarterly Patch Update. Componentele sunt JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1 plus GraalVM pentru JDK 17.02.13 și GraalVM EE 21.3.20.
Și aș dori să subliniez, prin titlu, că aș merge peste sistemul de buletine Oracle și de a găsi două gropi merită să scrie mai mult decât gaura în sine. Pentru că aceste două gropi nu sunt problema.Toate echipele care lucrează la Quarterly Sweeper Bulletin vor călca pe el.Da.
I. Pit One: nu este în CPU acest trimestru.
Acesta este cel mai anti-intuitiv. Mulți oameni (inclusiv eu o lună în urmă) au un implicit pe ritmul de securitate Oracle: Quarterly CPU, o dată în octombrie, matura 1295 patch-uri și sa terminat.
Dar anunţul public al lui Oracle este de fapt trei piscine:
- Actualizare petice catolice (CPU)- Loturi trimestriale, toate împreună.
- Alertă de securitate— Urgent single dots, not integrated into the quarterly rhythm, a CVE might open a single page.
- Actualizare petic de securitate creativă— A patch between the two.
CVE-2026-91403.A doua piscină.Nu ştiu. Am verificat textul complet al buletinului CPU -- 1295 de noi patch-uri, din care Java SE avea 55, 49 puteau fi folosite de la distanţă fără autorizaţie --Căutare text complet CVE-2026-91403, 0 hit-uri.
Ce înseamnă asta? Dacă fluxul de active este o "listă CVE trimestrială a procesoarelor, duce la portiţă, programează reparaţiile," este o portiţă de scăpare.Niciodată pe lista ta.Nu ştiu. Nu lipseşte, e conducta care nu acoperă sursa de date.
Şi Oracle a adăugat un pasaj special la Alerta de Securitate cu efect ca petele de alarmă de securitateDoar versiunile acoperite în faza de sprijin Premier sau extinse, o versiune care nu este în ciclul de sprijin nu va fi testată. Traducerea este - nu veni în căutarea pentru mine în versiunea veche.
Apropo, două versiuni ale tabelelor nu sunt ridicate.
Această groapă a fost descoperită în timpul anchetei, și este chiar mai alarmant.
În același ritm din octombrie, Java SE a apărut cu două versiuni complet diferite: CPU, care cuprinde 8u503, 11.032.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Alertă de securitate, 8.511, 11.033, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Nu e o greşeală. Sunt două actualizări diferite. M-am gândit, "Am terminat cu CPU acest trimestru," și nu a fost aceeași versiune.Cele mai periculoase dintre aceste circumstanţe nu sunt absenţa patch-urilor, ci faptul că sunt făcute sigure.
II. Pit II: 9,1 minute, dar nu și RCE
E mai subtil şi mai uşor să ratezi titlul.
Vector CVE-2026-91403 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NDeschide-l.
| Dimensiuni | Ia valoare | Semnificație |
|---|---|---|
| Vector de atac AV | N (Network) | Acces la distanță |
| Complexitatea AC a atacului | L (scăzut) | Nu e nevoie de o grămadă de precondiţii. |
| Permisiunile PR necesare | N (niciuna) | Poţi începe fără autentificare. |
| Interactiv cu utilizatorul UI | N (niciuna) | Nu trebuie să minţi pe nimeni în legătură cu legătura. |
| S Domeniul de acţiune | U (Nicio schimbare) | Impactul limitat la domeniul său de siguranță |
| Confidențialitate | H (ridicat) | Date cheie accesibile |
| Integritate | H (ridicat) | Datele cheie pot fi create/ eliminate/modificate |
| A Disponibilitate | N (niciuna) | Oracolul nu a indicat efectele perturbatoare ale serviciului |
Ultima linie este cheia.Niciuna.
Descrierea originală a lui Oracle este pentru crearea neautorizată, ștergerea sau modificarea drepturilor de acces, plus accesul neautorizat la datele cheie.Cuvântul "cod de la distanță" nu apare pe tot parcursul.
Nu e argou. 9.1 Punctul este C:H + I:H a avut loc până Dar "poate citi schimbarea" şi "poate aplica orice cod." Există două lucruri de rezolvat: prima înseamnă adesea că suprafața datelor este penetrantă, iar cea din urmă înseamnă că întreaga mașină se schimbă. Le clasifici în fracţiuni şi le clasifici în semantică.
Încă un detaliu: Oracolul spune gaura.Ar putea afecta implementarea Java care încarcă și rulează coduri nedemne de încredere.Scena tipică este aplicația Java Web Start și miniaplicația în cutia cu nisip, sub cutia cu nisip Java. E o scenă rară acum, dar dacă o ai în vechiul tău sistem, e altceva pentru că natura cutiei de nisip se schimbă odată purtată.
Plus, calibrarea groapă: Oracle a spus clar scorul CVSSPresupune că utilizatorii care rulează applet sau WebStart au privilegii de administrator(Windows comun) Atunci când utilizatorul nu este un administrator (comun pe Solaris, Linux), scorul de impact pentru confidențialitate, integritate și utilizare este redus de la ridicat la scăzut, urmat de un procent mare din indicele de referință.Aceeași CVE poate fi complet diferită pe diferite platforme.
Trei, o gaură, trei straturi.
Cele două gropi indică de fapt aceeaşi problemă metodologică:Suntem toţi sortaţi în fracţii, dar nimeni nu rupe semantica şi sursele.
Primul nivel: sistem de buletine - în care piscină merge
Acest lucru determină dacă conducta automată poate obține. CPU, Security Alert, CSPU sunt trei canale diferite, cu ritmuri diferite, acoperire și chiar structuri URL. Doar procesul CPU, în mod natural lipsesc toate punctele unice de urgență.
Cel mai puțin convenabil mod de a face acest lucru este de a obține producătorul.CVE pe harta buletinuluiConsider-o singura intrare, nu un anunţ specific. Oracle oferă propria hartă a CVE pentru consiliere/alertă, care este mai fiabil decât orice pagină CPU.
Al doilea nivel: semantica ratingului - 9.1 - care sunt punctele?
CVSS este o cantitate de descompunere, nu un clasament. C:H/I:H/A:N 9.1 și C:H/I:H/A:H:H, 9.1., prioritatea de eliminare ar trebui să fie diferită.
Mai practic:Este util pentru a vedea vectori peste puncte.AC:L + PR:N + UI:N, luate împreună, înseamnă că fața atacului este complet deschisă, fără nicio condiție prealabilă. Chiar și cu un scor de șapte, această gaură este mult mai probabil să fie utilizate decât cele nouă puncte care sunt legate.
Nivelul 3: Lanţul de aprovizionare - A cui este construcţia?
Oracle JDK este doar unul dintre ei. S-ar putea rula on-line cu un constructor de distribuție de OpenJDK, un JDK personalizat pentru un producător de nori, sau un constructor de terțe părți ambalate într-o oglindă container.Fixările CVE nu sunt fixe, în funcţie de dacă vânzătorul nu a pus plasturele în amonte, iar plasturele fără păr Oracle este două lucruri.
Aşa că nu te uita la anunţul lui Oracle şi uită-te la versiunea lui Oracle JDK - află cine eşti cu adevărat. Nu merge. E inutil.
Ce ar trebui să facem?
- Confirmă prima versiune.Fugi!
java -version, compara tabelul de mai sus. 8u511/ 11. 03/ 17. 02. 21. 13 / 25. 0 / 27. 0.1 Acestea sunt afectate și nu au fost restaurate. - Nu vă abonați numai la procesor.Integrează alerta de securitate și CSPU în supraveghere, folosind harta CVE-to-Advisory ca o intrare și nu se bazează pe o singură pagină.
- Deschide vectorul şi sortează-l.Cel puțin scoateți elementul A (disponibil) și nu înlocuiți cuvântul "9.1" cu cuvântul "9.1."
- Fii atent, vânzătorule.Asta e calea reală de a repara.
- Nu conta pe măsuri de atenuare.În acest anunț, Oracolul nu l-a dat lumii, iar declarațiile de credit au fost scrise de Noon Credite -- nici de cine a făcut-o, nici de bypass. Există o singură cale de a repara asta.
Există un alt element de administrare a activelor:Salvați cuvântul "tip de publicitate" ca un câmp.Alerta CPU și de securitate ar fi trebuit să fie diferite în ceea ce privește răspunsul la SLA - prima poate trece prin ferestre trimestriale și aceasta din urmă urmează unui proces de urgență. Într-un ceas, urgenţa întârzie până la sfârşitul sezonului.
V. CONTEXTUL DECLARAȚIEI FINALE
Această portiță de scăpare în sine, 9.1 puncte, neautorizat, reeaable, non-interactive, lizibile
Dar ceea ce mi-a adus nu a fost portiţa de scăpare în sine, dar a fost...Cum a scăpat din ochii mei?: un plasture de urgență care nu este inclus în buletinul trimestrial, un număr de versiune neegalat, un punct 9.1 fără RCE. Cele trei lucruri care se întâmplă în izolare nu sunt fatale, şi se adună împreună şi spun, "Credeam că am terminat, dar nu le-am văzut."
Urechea nu este teribil, este teribil că nu aveți loc în procesul dumneavoastră.
Apropo, luaţi o notă a datelor şi faceţi-vă mai uşor de verificat: în timpul trimestrului, CPU a avut un total de 1295 de patch-uri noi, Java SE a reprezentat 55, 49 din care au fost neautorizate de la distanţă; CVE-2026-91403 a fost Alertă de Securitate, 21 octombrie 2026, Rev 1, care a acoperit doar Java SE ca linie de produse.
Iată link-ul:Alertă de securitate Oracle CVE-2026-91403Nu ştiu. Dacă doriţi să vedeţi textul matricei risc cu risc, există un link pe pagina buletinului.