ชวามีช่องโหว่ 9.1 ส่วน CEV-2026-91403 แต่ผมมองไปรอบๆ เครื่องถ่ายเทแสง และพบหลุมใหญ่ 2 หลุม
อย่างแรก ข้อสรุปก็คือCVE-2026-91403 เป็นเรื่องจริง CVS 3.1 ชนะ 9.1 และจริงจังจริงๆ แต่มันไม่อยู่ในซีพียูของฤดูกาลนี้ และไม่มีการ "จับ" ใน 9.1 นาทีถ้าคุณไม่เข้าใจมันทั้งหมด คุณจะได้รับจังหวะและลําดับผิด
2561. หลุมนี้ผ่านโดย เทพยากรณ์ เมื่อวันที่ 21 ตุลาคม 2026. แจ้งเตือนความปลอดภัย จุดเดียวไม่ได้หนึ่งจาก ปรับปรุงไตรมาส ส่วนประกอบคือ JSE 821.0.33.3.1.0.21.1.0.13.0.0.0.0.0.0.0.1 บวกกับ GraalVM สําหรับ JDK 17.02.13 และ GraalVM EE 21.20.
และผมอยากจะชี้ให้เห็นว่า ตามชื่อเรื่อง ผมจะตรวจระบบรับกระสุนของเทพยากรณ์ และพบหลุมสองหลุม ที่มีค่ายิ่งในการเขียนมากกว่าหลุมเอง เพราะสองหลุมนี้ไม่ใช่ปัญหาทุกทีมที่ทํางานใน ไตรมาสกวาดกระสุน จะเหยียบมันใช่
I. พิทวัน: มันไม่ได้อยู่ใน CPU ไตรมาสนี้
นี่คือแอนติเดริเวทีฟมากที่สุด หลาย ๆ คน (รวมผมเมื่อเดือนก่อนด้วย) มีสถิติการรักษาความปลอดภัยของเทพยากรณ์: CPU ใน ค.ศ.
แต่การประกาศต่อสาธารณชนของเทพยากรณ์ จริงๆแล้วมี 3 สระ
- การอัปเดตแบบคาทอลิก (CPU)- ไตรมาสทั้งหมดเข้าด้วยกัน
- แจ้งเตือนความปลอดภัย— จุด เดี่ยว ที่ เร่ง ด่วน ไม่ ได้ เชื่อม โยง เข้า กับ จังหวะ ที่ อยู่ ใน เสี้ยว หนึ่ง, CEV อาจ เปิด หน้า เดียว.
- ปรับปรุงความปลอดภัยแบบสร้างสรรค์-ข้อต่อระหว่างทั้งสอง
CEV-2026-91403.สระสองฉันไม่รู้ ผมอ่านข้อความเต็มฉบับ ของเครื่อง CPU ลูกกระสุนใหม่ 1295 แผ่น ซึ่งจาวาเอสอีมี 55, 49 ตัวFull text search CEV-2026-91403, 0 ครั้ง.
หมายความว่าไง? ถ้าการไหลของทรัพย์สินของคุณเป็น "CEV รายชื่อ CPPPss ครึ่งหนึ่ง นําไปสู่ช่องโหว่ กําหนดการซ่อมแซม" มันเป็นช่องโหว่ไม่เคยอยู่ในรายชื่อของคุณฉันไม่รู้ มันไม่ได้หายไป มันเป็นท่อ ที่ไม่ครอบคลุมแหล่งข้อมูล
และเทพยากรณ์เพิ่มทางพิเศษเพื่อแจ้งเตือนความปลอดภัย ผลกระทบที่แพทช์รักษาความปลอดภัยของครอบคลุมเฉพาะรุ่นต่าง ๆ ในระยะรองรับหรือขยายการรองรับฉบับที่ไม่ได้อยู่ในวงจรการสนับสนุนจะไม่ถูกทดสอบ การแปลคือ -- อย่ามาหาผมในเวอร์ชันเก่า
อีกอย่าง โต๊ะสองแบบไม่ขึ้น
หลุมนี้ถูกค้นพบระหว่างการสืบสวน และยิ่งน่ากลัวมากขึ้น
ในจังหวะเดียวกันตุลาคม Java SE ปรากฏตัวด้วยสองเวอร์ชันที่แตกต่างกันอย่างสิ้นเชิง: CPU ประกอบกัน 8u503, 11.0.32.1, 17.0.20.1.1.1.1.1.1.1.1.1.1.1.1.0.0.4.4.4.2.2.2. 27; แจ้งเตือน 81, 11.0.3.3.1.1.1.1.1.1.0.0.0.1.1.
มันไม่ใช่ความผิดพลาด มีความคืบหน้า 2 อย่าง ผมคิดว่า "ผมพอแล้วกับ CPU ไตรมาสนี้" และมันไม่ใช่รุ่นเดียวกันอันตราย ที่ สุด ใน สภาพ การณ์ เหล่า นี้ ใช่ ว่า จะ ไม่ มี การ ติด ต่อ กัน แต่ เป็น ข้อ เท็จ จริง ที่ ว่า พวก เขา ปลอด ภัย.
III. พิทที่ 2: 9.1 นาที แต่ไม่ RICE
มันละเอียดอ่อนและง่ายกว่า ที่จะพลาดตําแหน่ง
CEV-2026-91403 เวกเตอร์ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nเปิดมันสิ
| ขนาด | รับค่า | หมายความว่า |
|---|---|---|
| การ โจมตี ของ AV | N (เน็ตเวิร์ค) | การเข้าใช้งานทางไกล |
| ความ ซับ ซ้อน ของ การ โจมตี | L (ต่ํา) | ไม่จําเป็นต้องมี สภาวะก่อนกําหนด |
| ต้องการสิทธิ์ของ PR | N (ไม่มี) | คุณสามารถเริ่มได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ |
| โต้ตอบของผู้ใช้แบบ UI | N (ไม่มี) | คุณไม่ต้องโกหกใครทั้งนั้น เกี่ยวกับการเชื่อมโยง |
| การ กระทํา | U (ไม่มีการเปลี่ยนแปลง) | ผล กระทบ จํากัด อยู่ แค่ ถิ่น ที่ ปลอด ภัย ของ มัน เอง |
| ความมั่นใจ | H (ความสูง) | ข้อมูลสําคัญที่เข้าถึงได้ |
| ผม ซื่อ สัตย์ มั่นคง | H (ความสูง) | ข้อมูลกุญแจสามารถสร้าง/ ลบ/ ลบทิ้งได้ |
| ความ เป็น ไป ได้ | N (ไม่มี) | เท รา ฟิม ไม่ ได้ บ่ง ชี้ ถึง ผล กระทบ ของ งาน รับ ใช้ |
เส้นสุดท้ายคือกุญแจไม่มี
คําอธิบายดั้งเดิมของเทพยากรณ์นั้น สําหรับการสร้าง, ลบหรือแก้ไขสิทธิ์ในการเข้าใช้ รวมทั้งเข้าถึงข้อมูลกุญแจที่ไม่ได้รับอนุญาตคํายกเว้นจากรีโมท ไม่ปรากฏตลอด
มันไม่ใช่สแลง 9.1 ประเด็นคือ C:H+I: H (H) ถือได้ — อ่านได้ แก้ไขได้ ทําลายได้ แต่ "สามารถอ่านความเปลี่ยนแปลงได้" และ "บังคับรหัสอะไรก็ได้" มี สอง สิ่ง ที่ ต้อง จัด การ: เครื่อง ที่ เคย ใช้ มา ก่อน มัก จะ หมาย ความ ว่า พื้น ผิว ข้อมูล มี ความ ละเอียด ลึก ซึ้ง และ ส่วน หลัง หมาย ความ ว่า เครื่องจักร ทั้ง ชุด กําลัง เคลื่อน ที่. คุณจัดอันดับมันในเศษส่วน, แล้วคุณจัดอันดับมันในเลขคณิต
อีกหนึ่งรายละเอียด เทพยากรณ์บอกว่าหลุมมันอาจจะมีผลกระทบกับจาวาที่โหลดรหัสที่เชื่อถือไม่ได้ภาพ โดย ทั่ว ไป คือ การ เริ่ม ใช้ เว็บไซต์ ชวา และ แอปเปิล ใน กล่อง ทราย ใต้ กล่อง ทราย ชวา. มันเป็นฉากที่หายากในขณะนี้ แต่ถ้าคุณมีมันในระบบเก่าของคุณ มันเป็นอีกสิ่งหนึ่ง เพราะธรรมชาติของกล่องทรายมีการเปลี่ยนแปลงเมื่อมันสวมใส่
นอกจากนี้ การปรับโครงสร้างของหลุม : Oraphy อย่างชัดเจนกล่าวว่าคะแนน CVS ของสมมุติว่าผู้ใช้ทํางานแอพเพล็ตหรือเว็บสตาร์ต มีสิทธิ์ในการจัดการ(หน้าต่างธรรมดา) เมื่อผู้ใช้ไม่ใช่ผู้บริหารระบบ (Conmon on Solaris, Linux) คะแนนผลกระทบสําหรับความลับ, ความซื่อสัตย์และการใช้งานจะลดลงจากระดับสูงถึงต่ํา ตามด้วยร้อยละมากของม้านั่งCEV คนเดียวกัน อาจแตกต่างกันอย่างสิ้นเชิงในแพลตฟอร์มที่แตกต่างกัน
สามหลุมหนึ่งสามชั้น
หลุมทั้งสองชี้ไปที่วิธีการเดียวกันเราทุกคนถูกแยกเป็นเศษส่วน แต่ไม่มีใครทําลายสารานุกรม และแหล่งกําเนิด
ระดับแรก ระบบส่ง - สระว่ายน้ําที่จะไป
กําหนดว่าจะให้ท่ออัตโนมัติของคุณได้รับหรือไม่ CPU, แจ้งเตือนความปลอดภัย, CSPU เป็น 3 ช่องที่แตกต่างกัน มีจังหวะที่แตกต่างกัน ครอบคลุม และแม้กระทั่งโครงสร้างที่อยู่ URL แค่กระบวนการ CPU โดยปกติจะขาดจุดฉุกเฉินทั้งหมด
วิธีที่สะดวกน้อยที่สุด คือหาผู้ผลิตส่งไปที่แผนที่คิดซะว่าเป็นทางเข้าเดียว ไม่ใช่ประกาศเฉพาะ Oraphy มีแผนที่ของ CEV เอง เพื่อ Adviewory/Alert ซึ่งเชื่อถือได้มากกว่าหน้า CPU ใด ๆ
ระดับที่ 2 การจัดอันดับ - 9.1 จุดไหน?
CVSS เป็นปริมาณการย่อยสลาย ไม่ใช่การจัดอันดับ C:H/IH:H/A:N 9.1 และ C:H/I:H/A:HH:H, 9.1 ความสําคัญของการกําจัดควรจะแตกต่างไป
ใช้ได้กับ:มันมีประโยชน์เวลาเห็นเวกเตอร์ตลอดจุดAC:L + PRI:N + UI:N, เอาร่วมกันหมายความว่าใบหน้าของการโจมตีจะเปิดอย่างสมบูรณ์โดยไม่ต้องแก้ไขใด ๆ แม้ จะ มี คะแนน เจ็ด เท่า หลุม นี้ ก็ ดู เหมือน จะ ใช้ ได้ มาก กว่า เก้า จุด ที่ เชื่อม ต่อ กัน.
ระดับ 3: ห่วงโซ่อุปทาน - การ ก่อ สร้าง นั้น เป็น ของ ใคร?
เทพยากรณ์ เจดีเค เป็นหนึ่งในพวกนั้น คุณอาจจะทํางานออนไลน์ด้วยผู้สร้าง OpenJDK , เครื่อง JDK ที่กําหนดเองสําหรับผู้ผลิตเมฆ หรือช่างก่อสร้างที่สามที่บรรจุอยู่ในกระจกคอนเทนเนอร์ไม่แก้ไข CEV ขึ้นอยู่กับว่าผู้จําหน่ายไม่ได้ใส่แพทช์ที่สายรุ้งใน และแพทช์ไม่มีผมพยากรณ์เป็นสองสิ่ง
ดังนั้นอย่ามองไปที่การประกาศของเทพยากรณ์ และดูที่เวอร์ชัน เทพยากรณ์ เจดีเค ของเขา หาว่าคุณคือใคร มันไม่ได้ผล มันไร้ประโยชน์
เราจะทํายังไงดี?
- ยืนยันรุ่นก่อนวิ่ง!
java -versionเปรียบเทียบตารางด้านบน 8u511 / 11.33 / 17.21 / 21.13/0.0.0.0.0.0.1 มันได้รับผลกระทบและไม่ได้ฟื้นฟูรุ่น - อย่าสมัครสมาชิกเฉพาะ CPUแจ้งหน่วยรักษาความปลอดภัย และ ESPU เข้าสู่การเฝ้าระวัง โดยใช้แผนที่ CVE-Advision เป็นทางเข้า
- เปิดเวกเตอร์และจัดเรียงมันอย่างน้อยก็ดึงรายการ A (ความจุได้) ออกมา แล้วไม่ต้องแทนที่คําว่า "9.1" ด้วยคําว่า "9.1"
- ดูนี่สิ คนขายนั่นคือหนทางแก้ไขที่แท้จริง
- อย่าหวังพึ่งมาตรการลดความอ้วนในการประกาศนี้ เทพยากรณ์ไม่ได้มอบให้กับโลก และบัญชีเครดิตได้ถูกเขียนขึ้นโดยโนออน แมสเซนส์ มีทางเดียวที่จะแก้ไขเรื่องนี้ได้
มีอีกเรื่องเกี่ยวกับทรัพย์สินบันทึกคําว่า "ประเภทสังคม" เป็นสนามCPU และระบบรักษาความปลอดภัย ควรจะแตกต่างกัน ในการตอบสนองต่อ สแอลเอ - คนก่อนสามารถผ่านผ่าน หน้าต่างไตรมาส และหลังต่อไปนี้กระบวนการฉุกเฉิน ในยามฉุกเฉินจะล่าช้าจนถึงปลายฤดูกาล
V. Contination of the Financial States
ช่องโหว่นี้ ตัวเอง 9.1 จุด ไม่ได้รับอนุญาต เชื่อมต่อไม่ได้ เชื่อมต่อไม่ได้ อ่านได้
แต่สิ่งที่มันนําฉันมา ไม่ใช่ช่องโหว่ แต่มันคือ...มันออกไปจากสายตาฉันได้ยังไงเหตุการณ์ที่ไม่ได้รวมอยู่ใน ควอลิตี บีฟลิตี้ เวอร์ชั่นผสม จํานวน 9.1 จุดที่ไม่มี RICE สามสิ่งที่เกิดขึ้นในความโดดเดี่ยว ไม่ได้ร้ายแรงนัก และพวกเขาก็มาอยู่ด้วยกัน และบอกว่า "ฉันคิดว่าฉันทําสําเร็จแล้ว"
ช่อง โหว่ ไม่ น่า กลัว เลย ที่ คุณ ไม่ มี ที่ อยู่ ใน กระบวนการ ของ คุณ.
2551 โดยวิธีการนี้ จดบันทึกข้อมูลและทําให้ง่ายสําหรับคุณที่จะตรวจสอบตัวเอง: ระหว่างไตรมาส CPU มีทั้งหมด 1295 แผ่นใหม่, ชวา SE ซึ่งนับรวม 55, 49 ชิ้นจากจํานวนดังกล่าวไม่ได้ระบุข้อมูล; CE 2026-191403 ได้ดําเนินการแจ้งเตือนความปลอดภัย 21 October 2026, Revy 1, ซึ่งครอบคลุมเพียงสายผลิตภัณฑ์จาวาเอสอีเท่านั้น
นี่คือลิงก์แจ้งเตือนระบบรักษาความปลอดภัย – CEV-2026-91403ฉันไม่รู้ ถ้าคุณอยากดูข้อความ ของเมทริกซ์เสี่ยงต่อความเสี่ยง มันมีลิงก์บนหน้าหนังสือ