甲骨文披露高危Java漏洞CVE-2026-91403：CVSS评分9.1，无需认证即可远程利用

SmartHey10月22日消息，甲骨文公司今日发布安全通报，披露编号为 CVE-2026-91403 的高危安全漏洞。该漏洞影响 Oracle Java SE、Oracle GraalVM for JDK 及 Oracle GraalVM Enterprise Edition 等多个核心运行环境，CVSS 3.1 基础评分为 9.1（严重级），攻击者可在无需身份验证、无需用户交互、无需任何权限的情况下远程发起攻击。

官方通报指出，漏洞根源于 Java 安全套接字扩展（JSSE）组件，攻击复杂度低（Attack Complexity: Low），且仅需通过标准网络访问即可触发。成功利用后，将对系统机密性（Confidentiality）与完整性（Integrity）造成严重影响，但暂不影响可用性（Availability）。

攻击者可通过调用受影响版本中 JSSE 相关 API 实施利用，例如在对外提供 HTTPS 服务的 Web 应用或微服务中注入恶意参数；同时，依赖 Java 沙箱机制进行隔离的客户端应用（如历史遗留的 Java Web Start 应用、已停用但仍可能在内网运行的 Java 小程序）也面临风险，尤其在加载并执行不可信代码时防护能力可能被绕过。

本次漏洞影响范围包括：Oracle Java SE 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5 和 27.0.1；Oracle GraalVM for JDK 17.0.21 与 21.0.13；以及 Oracle GraalVM Enterprise Edition 21.3.20。甲骨文已面向高级支持（Premier Support）和扩展支持（Extended Support）客户发布安全补丁，建议所有受影响用户立即核查版本并升级至修复版本。