Java'nın 9.1 bölünme boşluğu var, CVE-2026-91403, ama Oracle merminin etrafında baktım ve iki büyük delik buldum.
Birincisi, sonuç şu:CVE-2026-91403 gerçek, CVSS 3.1 9.1 yen ve gerçekten ciddi. Ama bu sezon CPU mermisinde değil ve 9.1 dakika içinde "koding" yok.Eğer hepsini çözmezseniz, ritmi ve siparişi yanlış alacaksınız.
Bu delik 21 Ekim 2026'da Oracle tarafından geçti. Güvenlik Uyarısı Tek noktalı, Quarterly Patch Update'ten bir tane değil. Parçalar JSSE 8u511, 11.0.33, 17.0.21, 1.01.13, 25.0.5, 27.0.1, artı Graal VM for JDK 17.02.13 ve Graal VM EE 21.3.20.
Ve belirtmek isterim ki, başlıkla, Oracle'ın mermi sistemi üzerinde gideceğim ve deliğin kendisinden daha fazla yazmaya değer iki çukur buldum. Çünkü bu iki çukur sorun değildir.Quarterly Sweeper Bulletin üzerinde çalışan tüm takımlar buna adım atacaktır.Evet.
Ben Pit One: Bu çeyrek CPU'da değil.
Bu en anti-intuitive. Birçok insan (bir ay önce de dahil) Oracle'ın güvenlik ritmine bir varsayılan var: Kasım ayında bir kez, 1295 yamaları süpürüyor ve bunun üzerinde.
Ancak Oracle'ın kamu açıklaması aslında üç havuzdur:
- Katolik Patch Update (CPU)- Çevikler, hepsi birlikte.
- Güvenlik Uyarısı- Urgent single dots, çeyrek ritmine entegre değil, bir CVE tek bir sayfa açabilir.
- Creative Security Patch Update- İkisi arasında bir yama.
CVE-2026-91403.İkinci havuz.Bilmiyorum. CPU mermisinin tam metnine gittim - Java SE'nin 55 olduğu 1295 yeni yamalar, 49 yetki olmadan uzaktan kullanılabilirdi -Full text search CVE-2026-91403, 0 hit.
Bu ne anlama geliyor? Eğer varlık akışınız CPU’ların merkezi bir CVE listesiyse, döngü deliğe yol açar, onarımları planlayın.”Listenizde asla.Bilmiyorum. Bu eksik değil, veri kaynağını kapsamayan boru.
Ve Oracle Güvenlik Uyarısının yamalarını Güvenlik Uyarısının yamalarına özel bir geçiş eklediSadece Premier Destek veya Genişletilmiş Destek aşamasındaki sayfalarAncak destek döngüsünde olmayan bir sürüm test edilmeyecektir. Çeviri - eski versiyonda beni aramıyor.
Bu arada, masaların iki versiyonu yukarı değil.
Bu çukur soruşturma sırasında keşfedildi ve daha da alarm verici.
Aynı Ekim ritminde, Java SE iki tamamen farklı versiyonla ortaya çıktı: 8u503, 11.0.32.1, 17.0.20.1, 1.01.12.1, 25.04.4, 6.2, 27; Güvenlik Uyarısı, 8,511, 11.0.33, 17.0.21, 1.01.1.3, 25.0.5, 27.0.1.
Bu bir hata değil. Bu iki farklı güncelleme. “Bu çeyrek CPU ile yapıyorum” diye düşündüm ve aynı versiyon değildi.Bu koşulların en tehlikelileri yamaların yokluğu değildir, ancak güvenli oldukları gerçeğidir.
II. Pit II: 9.1 dakika, ama RCE
Başlıkı kaçırmak daha ince ve daha kolay.
CVE-2026-91403 vektör CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NAçıklayın.
| Ölçüler | Değer alın | Anlam |
|---|---|---|
| AV Saldırı Vector | N (Network) | Uzak erişim |
| Saldırının AC karmaşıklığı | L (low) | Bir dizi ön koşullara ihtiyaç yoktur. |
| PR İzinleri Gerekli | N (none) | Kimlik doğrulama olmadan başlayabilirsiniz. |
| UI User Interactive | N (none) | Bağlantı hakkında kimseye yalan söylemek zorunda değilsiniz. |
| S Scope of Action | U (No change) | Etkisi kendi güvenli domain ile sınırlı |
| C Gizlilik | H (High) | Anahtar veri erişilebilir |
| I Integrity I | H (High) | Anahtar veriler oluşturulabilir / silinebilir / |
| Bir erişilebilirlik | N (none) | Oracle hizmetin kesinti etkilerini belirtmedi |
Son çizgi anahtardır.Hiçbir şey.
Oracle'ın orijinal açıklaması, erişim haklarının silinmesi veya değiştirilmesi, artı anahtar verilere izinsiz erişim içindir.Uzak kod istisnaı kelimesi boyunca görünmüyor.
It's not slang. 9.1 nokta C:H + I:H tuttu - okunabilir, değiştirilmiş, yıkıcı. Ama "Değişebilir" ve " herhangi bir kodu uygulayabilir." Çalışmak için iki şey var: eski genellikle veri yüzeyinin penetleştirilmesi anlamına gelir ve ikincisi tüm makinenin değiştiği anlamına gelir. Onları fraksiyonlarda sıralıyorsunuz ve onları semantik olarak sıralıyorsunuz.
Bir daha detay: Oracle deliği söylüyor.Java dağıtımlarını bu yükü etkileyebilir ve güvenilmez kodları çalıştırabilir.Tipik sahne, Java Web Start uygulaması ve Java sandbox altında, kum kutuda elmat. Şu anda nadir bir sahne, ama eski sisteminizde varsa, kumbox değişikliklerin doğası bir kez yıprandığı için başka bir şey.
Artı, çukurun kalibrasyonu: Oracle açıkça CVSS puanını söylediKullanıcıların elma veya WebStart'ı çalıştırdığı gibi, yönetici ayrıcalıkları var(Windows common) Kullanıcı bir yönetici olmadığı zaman ( Solaris, Linux), gizlilik, dürüstlük için etki puanı ve kullanılabilirlik Yüksekten Low'a kadar azaltılır ve kriterin büyük bir yüzdesi tarafından takip edilir.Aynı CVE farklı platformlarda tamamen farklı olabilir.
Üç, bir delik, üç tabaka.
İki pit aslında aynı metodolojik konuya işaret ediyor:Hepimiz kesmişiz, ama kimse semantik ve kaynakları kırmıyor.
İlk seviye: mermi sistemi - hangi havuzda gider
Bu, otomatik borunuzun bunu elde edebileceğini belirler. CPU, Güvenlik Uyarısı, CSPU, farklı ritimler, kapsama ve hatta URL yapıları ile üç farklı kanaldır. Sadece CPU süreci, doğal olarak tüm acil tek noktaları eksik.
Bunu yapmanın en uygun yolu, üreticiyi almaktır.CVE to the bulletin mapSadece girişi düşünün, belirli bir duyuru değil. Oracle, herhangi bir CPU sayfasından daha güvenilir olan CVE'nin kendi Map of CVE to Advisory/Alert, which is more reliable than any CPU page.
İkinci seviye: Puanın semantics - 9.1 - hangi noktalar?
CVSS, bir sıralama değildir. C:H/I:H/A:N 9.1 ve C:H/I:H/A:H:H, 9.1, tasarruf önceliği farklı olmalıdır - eski “data tampered” ve ikincisi “hızlı” artı ilk ikisi.
Daha pratik:vektörleri puanlar üzerinde görmek faydalı.AC:L + PR:N + UI:N, birlikte alındı, saldırının yüzü tamamen açık, herhangi bir ön şart olmadan. Yedi puanla bile, bu delik bağlantılı olan dokuz puandan daha büyük.
Seviye 3: Tedarik zinciri - Kim inşaattır?
Oracle JDK sadece bunlardan biridir. OpenJDK'nın dağıtım üreticisi ile online olarak çalıştırabilirsiniz, bir bulut üreticisi için özel bir JDK veya bir konteyner aynası ile dolu üçüncü taraf bir inşaatçı.CVE düzeltmeler sabit değildir, bu satıcının üst üste mi koymadığına bağlı olarak ve Oracle saçsız yama iki şeydir.
Bu yüzden Oracle'ın duyurularına bakma ve Oracle JDK versiyonuna bakma - gerçekten kim olduğunuzu öğrenin. Bu çalışmıyor. Bu işe yaramaz.
Ne yapmalıyız?
- İlk önce sürümü onaylayın.Run!
java -versionYukarıdaki tabloyu karşılaştır. 8u511 / 11.0.33 / 17.0.21 / 21.0.13 / 25.0.5 / 27.0.1 Bunlar etkileniyor ve restore edilmiş versiyonlar değil. - Sadece CPU'ya abone etmeyin.Güvenlik Uyarısı ve CSPU'u gözetime entegre eder, CVE-to-Advisory haritasını tek bir sayfaya güvenmez.
- vektörü açın ve sıralayın.En azından A (availability) öğesini çıkarın ve "9.1" kelimesini "9.1" kelimesi ile değiştirmeyin.
- Bunu kontrol edin, satıcı.Bu onarım için gerçek yol.
- Ayrılma önlemlerine saymayın.Bu duyuruda, Oracle dünyaya vermedi ve kredi ifadeleri Noon Credite tarafından yazılmıştı - ne yaptı, ne de atarak. Bunun üzerine bir yol var.
Başka bir varlık yönetim ürünü var:Bir alan olarak "halk türü" kelimesini kurtar.CPU ve Güvenlik Uyarısı SLA'ya yanıt vermek için farklı olmalıydı - eski çeyrek pencereden geçebilir ve ikincisi acil bir süreçtir. Bir saat içinde, acil durum sezonun sonuna ertelendi.
V. THE FATEMENT
Bu döngü kendini, 9.1 puan, yetkisiz, ağable, non-interaktif, okunabilir - tamir edilmeli ve önceliklenmelidir.
Ama bana getirdiği şey döngünün kendisi değildi, ama öyleydi...Nasıl benim görüşimden çıktı?: çeyrek mermiye dahil olmayan bir acil yama, RCE olmadan 9.1 noktası. izolasyonda olan üç şey ölümcül değildir ve bir araya geldiler ve “Yaptığımı sanıyordum ama onları görmedim.”
döngü de korkunç değil, sürecinizde hiçbir yer olmadığınız korkunç.
Bu arada, verilerin bir notu alın ve kendinizi kontrol etmek için daha kolay hale getirin: çeyrekte CPU toplam 1295 yeni yamalar vardı, Java SE 55 için hesaplandı, 49 tanesi uzaktan desteklenmedi; CVE-2026-91403 Güvenlik Uyarısı, 21 Ekim 2026 Rev 1, sadece bir ürün hattı olarak kapıldı.
İşte bağlantı:Oracle Güvenlik Uyarısı – CVE-2026-91403Bilmiyorum. Risk-by-risk matrisinin metnini görmek istiyorsanız, mermi sayfasında bir bağlantı var.