甲骨文公司于10月22日发布了安全警告，公开了一个编号为CVE-2026-91403的严重安全漏洞。该漏洞波及Oracle Java SE、Oracle GraalVM for JDK以及Oracle GraalVM Enterprise Edition软件，在CVSS 3.1评分体系下获得9.1分，攻击者无需经过身份验证即可发动攻击。
根据官方披露的信息，此漏洞存在于Java安全套接字扩展（JSSE）组件中，攻击手段简单，无需任何权限，也无需用户进行任何操作。一旦被成功利用，可能对系统的机密性和完整性造成严重损害，但对系统可用性没有影响。
此外，攻击者能够通过调用相关组件的API来利用这一漏洞，例如借助提供数据的API的Web服务发起攻击。该漏洞还可能影响客户端环境中的Java程序，特别是那些加载并运行不可信代码，同时依赖Java沙箱提供安全保护的Java Web Start应用或Java小程序。
本次漏洞影响的具体版本包括：Oracle Java SE 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5和27.0.1；Oracle GraalVM for JDK 17.0.21、21.0.13；以及Oracle GraalVM Enterprise Edition 21.3.20。甲骨文公司已为高级支持和扩展支持的产品推出了修复补丁，用户需立即进行升级。
参考：