У Java есть 9.1-раздельная лазейка, CVE-2026-91403, но я оглядел бюллетень Oracle и нашел две большие дыры.
Во-первых, вывод таков:CVE-2026-91403 - это правда, CVSS 3.1 обыграл 9.1, и действительно серьезно. Но его нет в бюллетене CPU этого сезона, и нет никакого кодирования за 9,1 минуты.Если вы не разберетесь во всем, вы получите неправильный ритм и порядок.
Эта дыра была пройдена Oracle 21 октября 2026 года. Предупреждение о безопасности Однонаправленный, а не один из квартальных обновлений. Компонентами являются JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, плюс GraalVM для JDK 17.02.13 и GraalVM EE 21.3.20.
И я хотел бы отметить, по названию, что я пройду через систему бюллетеней Oracle и найду две ямы, которые стоит написать больше, чем сама дыра. Потому что эти две ямы не проблема.Все команды, работающие над ежеквартальным бюллетенем Sweeper, наступят на него.Ага.
I. Pit One: В этом квартале этого процессора нет.
Это самый антиинтуитивный. У многих людей (включая меня месяц назад) есть дефолт по ритму безопасности Oracle: ежеквартальный процессор, один раз в октябре, сметает 1295 патчей, и все кончено.
Но публичное объявление Oracle на самом деле состоит из трех пулов:
- Обновление Католического Патча (CPU)- Ежеквартальные партии, все вместе.
- Предупреждение о безопасностиСрочные единичные точки, не интегрированные в ежеквартальный ритм, могут открыть одну страницу.
- Обновление Creative Security Patch- Заплатка между ними.
CVE-2026-91403.Второй бассейн.Я не знаю. Я просмотрел полный текст бюллетеня CPU — 1295 новых патчей, из которых Java SE был 55, 49, можно было использовать удаленно без разрешения.Полный текстовый поиск CVE-2026-91403, 0 попаданий.
Что это значит? Если ваш поток активов представляет собой «ежеквартальный список CVE процессоров, приведите к лазейке, запланируйте ремонт», это лазейка.Никогда в вашем списке.Я не знаю. Он не пропал, это труба, которая не покрывает источник данных.
Oracle добавила специальный пассаж в Security Alert, чтобы исправить исправления Security AlertТолько кавер-версии на этапе Premier Support или Extended SupportВерсия, которая не находится в цикле поддержки, не будет протестирована. Перевод - не ищи меня в старой версии.
К слову, двух версий таблиц нет.
Эта яма была обнаружена в ходе расследования, и вызывает еще большую тревогу.
В том же октябрьском ритме Java SE появилась с двумя совершенно разными версиями: CPU, включающим 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Security Alert, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Это не ошибка. Это два разных обновления. Я подумал: «Я закончил с процессором в этом квартале», и это была не та же версия.Самым опасным из этих обстоятельств является не отсутствие пластырей, а то, что они сделаны безопасными.
Яма II: 9,1 минуты, но не RCE
Легче и утонченнее пропустить название.
вектор CVE-2026-91403 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NОткрой.
| Размеры | Возьмите ценность | значение |
|---|---|---|
| Вектор атаки AV | N (сеть) | Удаленный доступ |
| Сложность атаки AC | L (низкий) | Нет необходимости в куче предварительных условий. |
| PR необходимые разрешения | Нет (нет) | Вы можете начать без аутентификации. |
| Пользовательский интерфейс Interactive | Нет (нет) | Вам не нужно никому врать о связи. |
| Сфера действия | U (без изменений) | Влияние ограничено собственным безопасным доменом |
| C Конфиденциальность | H (высокий) | Доступные ключевые данные |
| Я честность | H (высокий) | Ключевые данные могут быть созданы/удалены/изменены |
| Доступность | Нет (нет) | Oracle не указала на сбои в работе сервиса |
Последняя строка является ключом.Нет.
Оригинальное описание Oracle предназначено для несанкционированного создания, удаления или изменения прав доступа, а также несанкционированного доступа к ключевым данным.Слово «исключение из удаленного кода» не появляется повсюду.
Это не сленг. 9.1 Дело в том, что C:H + I:H удерживается — читаемый, модифицированный, разрушительный. Но «может читать изменения» и «может обеспечивать соблюдение любого кода». Есть две вещи, с которыми нужно иметь дело: первая часто означает, что поверхность данных проникает, а вторая означает, что вся машина движется. Вы оцениваете их по фракциям, и вы оцениваете их по семантике.
Еще одна деталь: Оракул говорит дыру.Это может повлиять на развертывание Java, которое загружает и запускает ненадежные коды.Типичной сценой является приложение Java Web Start и апплет в песочнице, под песочницей Java. Сейчас это редкая сцена, но если она есть в вашей старой системе, это другое дело, потому что природа песочницы меняется, когда она изношена.
Плюс, калибровка ямы: Oracle четко озвучила свой балл CVSSПредположим, что пользователи, использующие апплет или WebStart, имеют права администратора.(Обычные окна) Когда пользователь не является администратором (обычно на Solaris, Linux), оценка воздействия на конфиденциальность, целостность и удобство использования снижается с высокого до низкого, за которым следует большой процент эталона.Один и тот же CVE может быть совершенно разным на разных платформах.
Три, одно отверстие, три слоя.
На самом деле эти две точки указывают на одну и ту же методологическую проблему:Мы все рассортированы по фракциям, но никто не ломает семантику и источники.
Первый уровень: система бюллетеней - в каком пуле она идет
Это определяет, может ли ваша автоматизированная труба получить его. CPU, Security Alert, CSPU - это три разных канала с разными ритмами, охватом и даже структурами URL. Просто процессорный процесс, естественно, не хватает всех аварийных единичных точек.
Наименее удобный способ сделать это — получить производителя.CVE на карте бюллетенейСчитай это единственным входом, а не конкретным объявлением. Oracle предоставляет свою собственную карту CVE для Advisory/Alert, которая является более надежной, чем любая страница процессора.
Второй уровень: семантика рейтинга - 9,1 - какие баллы?
CVSS - это сумма разложения, а не рейтинг. C:H/I:H/A:N 9.1 и C:H/I:H/A:H:H:H:H:H, 9.1 приоритет удаления должен быть различным — первый из них должен быть «подделан данными», а второй — «повешены услуги» плюс первые два.
Более практично:Полезно видеть векторы над точками.AC:L + PR:N + UI:N, взятые вместе, означают, что лицо атаки полностью открыто, без каких-либо предварительных условий. Даже при счете семь эта дыра будет использоваться гораздо чаще, чем те девять точек, которые связаны между собой.
Уровень 3: Цепочка поставок - Чья это конструкция?
Oracle JDK является одним из них. Вы можете запустить онлайн с помощью конструктора дистрибуции OpenJDK, пользовательского JDK для производителя облачных вычислений или стороннего конструктора, упакованного в зеркало контейнера.Исправления CVE не исправлены, в зависимости от того, не вставил ли этот поставщик патч вверх по течению, и патч без волос Oracle - это две вещи.
Так что не смотрите на объявление Oracle и посмотрите на его версию Oracle JDK — узнайте, кто вы на самом деле. Это не работает. Это бесполезно.
Что нам делать?
- Сначала подтвердите версию.Беги!
java -versionСравните таблицу выше. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Это затронутые и не восстановленные версии. - Не подписывайтесь только на CPU.Интегрирует оповещение о безопасности и CSPU в слежку, используя карту CVE-to-Advisory в качестве записи и не полагаясь на одну страницу.
- Откройте вектор и сортируйте его.По крайней мере, вытащите пункт А (доступность) и не замените слово "9.1" словом "9.1".
- Проверь, продавец.Это реальный путь к ремонту.
- Не рассчитывайте на меры по смягчению.В этом объявлении Oracle не передала его миру, и кредитные отчеты были написаны Noon Credite — ни тем, кто это сделал, ни обходом. Есть только один способ исправить это.
Есть еще один элемент управления активами:Сохранить слово «тип публичности» как поле.CPU и Security Alert должны были отличаться в реагировании на SLA - первый может проходить через ежеквартальные окна, а второй следует за аварийным процессом. На часах ЧП задерживается до конца сезона.
V. КОНТЕКСТ Окончательного заявления
Сама эта лазейка, 9,1 балла, неавторизованная, сетевая, неинтерактивная, читаемая — ее нужно отремонтировать и расставить приоритеты.
Но то, что это принесло мне, было не самой лазейкой, а...Как это вышло из моего поля зрения?Чрезвычайный патч, не включенный в ежеквартальный бюллетень, непревзойденный номер версии, 9.1 балл без RCE. Три вещи, которые происходят в изоляции, не смертельны, и они собираются вместе и говорят: «Я думал, что я закончил, но я их не видел».
Лазейка не страшна, ужасно, что вам нет места в вашем процессе.
Кстати, обратите внимание на данные и упростите себе проверку: в течение квартала на CPU было в общей сложности 1295 новых патчей, на Java SE приходилось 55, 49 из которых были удаленно несанкционированными; CVE-2026-91403 пошел Security Alert, 21 октября 2026, Rev 1, который охватывал только Java SE в качестве продуктовой линейки.
Вот ссылка:Oracle Security Alert — CVE-2026-91403Я не знаю. Если вы хотите увидеть текст матрицы риска по риску, на странице бюллетеня есть ссылка.