人工智能

甲骨文披露 Java SE 高危漏洞：CVSS 评分 9.1，涉及 JSSE 与多款 GraalVM 产品

2026年10月23日 · admin
OpenMagic API

据 IT之家 10 月 22 日报道，甲骨文发布安全警报，披露编号为 CVE-2026-91403 的高危漏洞，涉及 Oracle Java SE、Oracle GraalVM for JDK 及 Oracle GraalVM Enterprise Edition。来源显示，该漏洞的 CVSS 3.1 评分为 9.1 分，攻击者可能在未经身份验证的情况下发起攻击。甲骨文已为处于高级支持、扩展支持范围内的相关产品提供补丁，使用受影响版本的用户应尽快安排升级。

漏洞位于 JSSE，低攻击门槛值得警惕

openmagic_cn_banner

此次漏洞涉及 Java 安全套接字扩展，即 JSSE 组件。根据通报信息，其攻击复杂度较低，利用过程不要求攻击者具备任何权限，也不需要用户交互。这意味着，排查工作不能只围绕员工是否打开可疑文件、是否点击陌生链接展开，还需要检查应用对外提供的接口及其组件调用路径。

来源显示，攻击者可能通过调用相关组件的 API 利用漏洞，例如借助使用相关 API 提供数据的 Web 服务发起攻击。漏洞一旦被成功利用，可能对系统的机密性和完整性造成高等级影响，但通报所列影响不包括系统可用性。对运维团队而言，服务没有宕机，并不能据此判断系统没有受到影响。

客户端环境同样需要关注。报道指出，加载并执行不可信代码、同时依赖 Java 沙箱提供安全保护的程序也可能受影响，尤其是 Java Web Start 应用或 Java 小程序。此类环境不能仅因不属于面向公网的服务端系统，就被排除在排查范围之外。

哪些版本需要核查？

按照来源列出的范围，本次涉及以下产品与版本：

  • Oracle Java SE：8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5 和 27.0.1。
  • Oracle GraalVM for JDK：17.0.21、21.0.13。
  • Oracle GraalVM Enterprise Edition：21.3.20。
openmagic_cn_banner

上述清单应作为资产核查的起点。企业需要确认实际运行的 Java 发行版、版本号及产品支持状态，而不只是查看开发人员电脑上的 JDK。应用随附的运行环境、服务器部署目录，以及构建和发布流程使用的基础环境，也值得同步检查。具体修复版本与适用条件，应以甲骨文对应安全通报及补丁说明为准。

影响解读：补丁管理要覆盖应用运行链路

从软件基础设施角度看，这次警报提醒开发与运维团队：运行时依赖也是安全边界的一部分。无论是企业业务系统、自动化服务，还是以 Java 组件支撑的 AI 应用后端，只要使用相关受影响产品，都应核实是否存在对应风险；不能因为上层业务逻辑没有修改，就忽略底层运行环境更新。

实际处置上，可优先核查对外服务及相关 API 调用场景，同时覆盖依赖沙箱保护的客户端程序。确认命中受影响版本后，应结合官方补丁说明开展兼容性验证并尽快部署。升级完成后，还需核对生产进程实际加载的运行时版本，避免出现补丁已安装、旧环境却仍在运行的情况。