Java har ett 9,1-uppdelat kryphål, CVE-2026-91403, men jag tittade runt Oracle bulletin och hittade två stora hål.

Först är slutsatsen att:CVE-2026-91403 är sant, CVSS 3.1 slå 9.1, och faktiskt allvarlig. Men det är inte i den här säsongens CPU-bulletin, och det finns ingen "kodning" på 9,1 minuter.Om du inte får allt räknat ut, får du rytmen och ordern fel.

Detta hål passerades av Oracle den 21 oktober 2026. Säkerhetsvarning Enstaka, inte en från Quarterly Patch Update. Komponenterna är JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, plus GraalVM för JDK 17.02.13 och GraalVM EE 21.3.20.

Och jag skulle vilja påpeka, med titeln att jag skulle gå över Oracles bulletinsystem och hitta två gropar värt att skriva mer än hålet själv. Eftersom dessa två gropar inte är problemet.Alla team som arbetar med Quarterly Sweeper Bulletin kommer att gå vidare.Ja.

I. Pit One: Det är inte i CPU detta kvartal.

Detta är den mest antiintuitiva. Många människor (inklusive mig för en månad sedan) har en standard på Oracles säkerhetsrytm: Kvartalsvis CPU, en gång i oktober, sopa 1295 fläckar och det är över.

Men Oracles offentliga tillkännagivande är faktiskt tre pooler:

• Katolska Patch Update (CPU)Kvartalsvis satser, alla tillsammans.
• Säkerhetsvarning- Brådskande enskilda prickar, inte integrerade i kvartalsrytmen, en CVE kan öppna en enda sida.
• Creative Security Patch UpdateEn patch mellan de två.

CVE-2026-91403.Andra poolen.Jag vet inte. Jag gick igenom den fullständiga texten i CPU-bulletinen - 1295 nya fläckar, varav Java SE var 55, 49 kunde användas på distans utan tillstånd -Full textsökning CVE-2026-91403, 0 träffar.

Vad betyder det? Om ditt tillgångsflöde är en "kvartals CVE-lista över CPU, leda till kryphålet, schemalägga reparationerna", är det ett kryphål.Aldrig på din lista.Jag vet inte. Det saknas inte, det är röret som inte täcker datakällan.

Och Oracle lade till en speciell passage till säkerhetsvarningen för att säkerhetsvarningens fläckarEndast täcka versioner i Premier Support eller utökad supportfasEn version som inte finns i supportcykeln kommer inte att testas. Översättning är - kom inte och letar efter mig i den gamla versionen.

Förresten är två versioner av tabellerna inte uppe.

Denna grop upptäcktes under utredningen och är ännu mer alarmerande.

I samma oktober rytm, Java SE dök upp med två helt olika versioner: CPU, bestående av 8u503, 11.0.32.1, 17.0.20.1, 1.01.1, 25.04.4, 6.2, 27; Security Alert, 8.511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.

Det är inte ett fel. Det är två olika uppdateringar. Jag tänkte, "Jag är klar med CPU detta kvartal," och det var inte samma version.Den farligaste av dessa omständigheter är inte frånvaron av fläckar, men det faktum att de är säkra.

II. Pit II: 9,1 minuter, men inte RCE

Det är mer subtilt och lättare att missa titeln.

CVE-2026-91403 vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NÖppna den.

Dimensioner	Ta värde	Betydelse
AV Attack Vector	N (Nätverk)	Fjärråtkomst
AC komplexitet av attack	L (låg)	Det finns inget behov av en massa förutsättningar.
PR-behörigheter krävs	N (ingen)	Du kan börja utan autentisering.
UI Användare Interaktiv	N (ingen)	Du behöver inte ljuga för någon om länken.
Scope of Action	U (ingen förändring)	Konsekvens begränsad till sin egen säkra domän
C Konfidentialitet	H (Hög)	Nyckeldata tillgänglig
Jag integritet	H (Hög)	Viktiga data kan skapas/tas bort/modifieras
En tillgänglighet	N (ingen)	Oracle indikerade inte störningseffekterna av tjänsten

Den sista raden är nyckeln.Ingen.

Oracles ursprungliga beskrivning är för obehörig skapande, radering eller ändring av åtkomsträttigheter, plus obehörig åtkomst till nyckeldata.Ordet fjärrkod undantag visas inte hela.

Det är inte slang. 9.1 Poängen är C: H + I: H hålls upp - läsbar, modifierad, destruktiv. Men "kan läsa förändring" och "kan genomdriva någon kod." Det finns två saker att hantera: den förra betyder ofta att dataytan tränger in, och den senare betyder att hela maskinen skiftar. Du rankar dem i fraktioner, och du rankar dem i semantik.

En mer detaljerad: Oracle säger hålet.Det kan påverka Java-utplaceringar som laddar och kör opålitliga koder.Den typiska scenen är Java Web Start-applikationen och applet i sandlådan, under Java sandlådan. Det är en sällsynt scen nu, men om du har det i ditt gamla system är det en annan sak eftersom sandlådans natur ändras när den bärs.

Plus, kalibreringen av gropen: Oracle sa tydligt sin CVSS poängAnta att användare som kör applet eller WebStart har administratörsprivilegier(Windows vanligt) När användaren inte är administratör (gemensamt på Solaris, Linux), minskas effektresultatet för konfidentialitet, integritet och användbarhet från High till Low, följt av en stor andel av referensvärdet.Samma CVE kan vara helt annorlunda på olika plattformar.

Tre, ett hål, tre lager.

De två groparna pekar faktiskt på samma metodologiska fråga:Vi sorteras alla i fraktioner, men ingen bryter semantiken och källorna.

Första nivån: bulletinsystem - där poolen går

Detta avgör om ditt automatiserade rör kan få det. CPU, Security Alert, CSPU är tre olika kanaler, med olika rytmer, täckning och även URL-strukturer. Bara CPU-processen saknar naturligtvis alla nödsituationer.

Det minst bekväma sättet att göra det är att få tillverkaren.CVE till bulletinkartanTänk på det enda ingången, inte ett specifikt tillkännagivande. Oracle tillhandahåller sin egen karta över CVE till Advisory/Alert, vilket är mer tillförlitligt än någon CPU-sida.

Andra nivån: betygets semantik - 9.1 - vilka är poängen?

CVSS är ett nedbrytningsbelopp, inte en rankning. C:H/I:H/A:N 9.1 och C:H/I:H/A:H:H, 9.1, disponeringsprioriteringen bör vara annorlunda – den förra är ”data manipulerad” och den senare är ”tjänster hängde upp” plus de två första.

Mer praktisk:Det är användbart att se vektorer över punkter.AC:L + PR:N + UI:N, tillsammans, innebär att ansiktet på attacken är helt öppet, utan några förutsättningar. Även med en poäng på sju, är detta hål mycket mer benägna att användas än de nio poäng som är kopplade.

Nivå 3: Leveranskedja - Vems konstruktion är det?

Oracle JDK är bara en av dem. Du kan köra online med en distributionsbyggare av OpenJDK, en anpassad JDK för en molntillverkare eller en tredjepartsbyggare packad i en containerspegel.CVE-fixar är inte fasta, beroende på om den leverantören inte satte uppströmspatchen i, och Oracle hårlös patch är två saker.

Så titta inte på Oracles tillkännagivande och titta på hans Oracle JDK-version - ta reda på vem du verkligen är. Det fungerar inte. Det är värdelöst.

Vad ska vi göra?

1. Bekräfta versionen först.Kör! java -versionJämför tabellen ovan. 8u511/11.0.33/17.0.21/21.0.13/25.0.5/27.0.1 Dessa påverkas och återställs inte versioner.
2. Prenumerera inte bara på CPU.Integrerar säkerhetsvarning och CSPU i övervakningen, med hjälp av CVE-till-rådgivande karta som en post och inte förlita sig på en enda sida.
3. Öppna vektorn och sortera den.Åtminstone dra ut objektet A (tillgänglighet) och inte ersätta ordet "9.1" med ordet "9.1".
4. Kolla in det, leverantör.Det är den verkliga vägen att reparera.
5. Räkna inte med begränsningsåtgärder.I detta tillkännagivande gav Oracle inte till världen, och kreditupplysningarna skrevs av Noon Credite - varken av vem som gjorde det eller bypasset. Det finns bara ett sätt att lappa upp detta.

Det finns ett annat tillgångshanteringsobjekt:Spara ordet "allmänhetstyp" som ett fält.CPU och Security Alert borde ha varit annorlunda för att svara på SLA - den tidigare kan gå igenom kvartalsfönster och den senare följer en nödprocess. I en klocka försenas nödsituationen till slutet av säsongen.

V. KONTEXT OF THE FINAL STATEMENT

Detta kryphål i sig, 9,1 poäng, obehörig, nätverksbar, icke-interaktiv, läsbar - det bör repareras och prioriteras.

Men vad det förde mig var inte kryphålet självt, men det var...Hur kom det ur min syn?En akut patch som inte ingår i kvartalsvis bulletin, ett oöverträffat versionsnummer, en 9,1 poäng utan RCE. De tre saker som händer i isolering är inte dödliga, och de kommer samman och de är som, "Jag trodde att jag var klar, men jag såg dem inte."

Loophole är inte hemskt, det är hemskt att du inte har någon plats i din process.

Förresten, notera data och göra det lättare för dig att kontrollera dig själv: under kvartalet hade CPU totalt 1295 nya fläckar, Java SE stod för 55, 49 av vilka var distans obehöriga; CVE-2026-91403 gick Security Alert, 21 oktober 2026, Rev 1, som endast täckte Java SE som produktlinje.

Här är länken:Oracle Security Alert – CVE-2026-91403Jag vet inte. Om du vill se texten till risk-för-riskmatrisen finns det en länk på bulletinsidan.