CVE-2026-91403: Критична Уразливість Oracle Java SE та GraalVM Дозволяє Віддалені Атаки

Oracle випустила позапланове попередження безпеки, яке стосується CVE-2026-91403, критичної вразливості, що впливає на Oracle Java SE, Oracle GraalVM для JDK та Oracle GraalVM Enterprise Edition. Проблема безпеки знаходиться в компоненті Java Secure Socket Extension (JSSE) і має оцінку CVSS v3.1 9.1.

Вразливість дистанційно експлуатується без аутентифікації. За даними Oracle, атакуючий з мережевим доступом через кілька протоколів може компрометувати вразливі Java-середовища без надання облікових даних або необхідності взаємодії з користувачем. Успішна експлуатація може розкрити критичні дані і дозволити несанкціоновану модифікацію, створення чи видалення інформації, доступної до ураженого середовища Java.

Rapid7 класифікує цю недоліком як критичну та підтверджує вектор CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Це означає, що експлуатація можлива через мережу з низькою складністю атаки, не потребує привілеїв або взаємодії жертви, і може мати високий вплив на конфіденційність та цілісність.

Широке розгортання Java у корпоративних веб-сервісах, бекенд-застосунках, проміжному програмному забезпеченні, API та критичній інфраструктурі бізнесу збільшує потенційну експозицію. Тому організації повинні ідентифікувати уражені середовища Java та GraalVM і пріоритезувати виправлення Oracle Security Alert.

Команди безпеки, що шукають можливості виявлення CVE-2026-91403, повинні моніторити Java-сервіси на наявність аномальних мережевих взаємодій, несподіваних сертифікатів або тимчасових помилок, підозрілих дочірніх процесів та незвичайного доступу до чутливих даних застосунків.

Платформа AI-Native Detection Intelligence від SOC Prime може допомогти командам безпеки зміцнити їхній захист від експлуатації нових вразливостей, надавши контент для виявлення, відображений на MITRE ATT&CK® і доступний у різних середовищах SIEM, EDR та Data Lake.

Натисніть Дослідити виявлення щоб отримати доступ до відповідного контенту SOC та логіки полювання. Для виявлення CVE-2026-91403 та пов’язаної поведінки після експлуатації захисники повинні комбінувати телеметрію Java-застосунків, моніторинг мережі, видимість кінцевих точок та журнали на рівні сервісу.

Команди безпеки можуть також використовувати Prime Architect для перетворення інтелекту про нові вразливості у правила Sigma, генерації запитів для полювання, перевірки логіки виявлення та перекладу виявлень на підтримувані платформи безпеки.

Аналіз CVE-2026-91403

CVE-2026-91403 впливає на компонент JSSE, що використовується Java-застосунками для надання можливостей безпечного з’єднання. Oracle описує цю недоліком як легко експлуатовану і підтверджує, що атаки можуть виходити віддалено через кілька протоколів без аутентифікації.

Виробник не розкрив публічно базову програмну помилку або повну послідовність експлуатації. Політика розкриття вразливостей Oracle навмисно обмежує технічні деталі, які можуть сприяти розробці зброї, доки клієнти встановлюють патчі. Тому твердження про конкретний неправильно сформований пакет, структуру сертифіката, аргумент API або примітиви експлуатації не повинні вважатися підтвердженими, якщо Oracle не публікує додаткову технічну інформацію.

CVE-2026-91403 впливає на наступні підтримувані релізи Oracle:

• Oracle Java SE 8u511 та 8u511-perf
• Oracle Java SE 11.0.33
• Oracle Java SE 17.0.21
• Oracle Java SE 21.0.13
• Oracle Java SE 25.0.5
• Oracle Java SE 27.0.1
• Oracle GraalVM для JDK 17.0.21
• Oracle GraalVM для JDK 21.0.13
• Oracle GraalVM Enterprise Edition 21.3.20

Oracle також застерігає, що не підтримувані попередні релізи не були протестовані, але ймовірно містять вразливості, на які націлена Security Alert. Організації, які ще працюють з не підтримуваними гілками Java, не повинні вважати, що вони не вразливі.

Поверхня атаки ширша за автономні Java настільні програми. Oracle спеціально зазначає, що експлуатація може відбуватися через API, до яких має доступ вразливий компонент, включаючи ситуації, коли веб-сервіс передає дані, контрольовані атакувальником, до цих API.

Виробник також зазначає, що це питання стосується розгортань Java, які виконують не довірений код, покладаючись на Java sandbox для захисту, включаючи sandboxed Java Web Start програми та Java аплети.

Деталі CVE-2026-91403 показують особливо серйозні наслідки для конфіденційності та цілісності. Oracle оцінює ці впливи як Високі, вказуючи на відсутність прямого впливу на доступність. Успішний атакувальник може потенційно отримати несанкціонований доступ до критичних даних застосунку або модифікувати, створювати та видаляти інформацію, доступну для компрометованого Java-середовища.

Ця різниця важлива для реагування на інциденти. Організації не повинні зосереджуватися виключно на перериванні роботи сервісу. Компометований сервер може продовжувати працювати нормально, в той час як відбувається доступ до чутливої інформації або модифікація даних застосунків.

На момент публікації ні Rapid7, ні Oracle не надають публічного PoC для CVE-2026-91403 або достатньо технічних інструкцій для незалежного відтворення вразливості. Rapid7 також зазначає, що проблема відсутня в каталозі CISA Known Exploited Vulnerabilities станом на 22 жовтня 2026.

Так само, не були опубліковані жодні IOC CVE-2026-91403, такі як шкідливі IP-адреси, домени, хеші або сигнатури корисного навантаження, у основних джерелах. Це обмежує ефективність суто індикаторного полювання і робить поведінкову видимість більш важливою.

Команди безпеки повинні моніторити сервіси, що обслуговують Java, для наступного:

• Несподівані запити мережі, що доходять до Java-застосунків або веб-сервісів
• Аномальні помилки TLS або пов’язані з JSSE
• Зміни даних застосунків без відповідної легітимної діяльності
• Несподівані аномалії аутентифікації або авторизації
• Java-процеси, що ініціюють незвичайні вихідні з’єднання
• Невизнані дочірні процеси, що запускаються Java-застосунками
• Модифікації файлів, конфігурацій або ресурсів застосунку
• Підозрілі запити API, що передують аномальному доступу до даних

Оскільки механізми повної експлуатації залишаються нерозкритими, ці поведінки не можуть самі по собі довести експлуатацію. Замість цього, вони повинні служити точками для розслідування у комбінації з розкриттям вразливості та телеметрією, специфічною для застосунків.

Пом’якшення CVE-2026-91403

Oracle випустила спеціальне попередження безпеки 21 жовтня 2026 року, а не чекала на пізніший запланований цикл безпеки. Адміністраторам слід якнайшвидше застосувати патчі, зазначені у документації доступності патчів Oracle, як це операційно можливо.

Організації повинні спочатку інвентаризувати всі Java-інсталяції, включаючи середовища, включені у комерційне програмне забезпечення, продукти проміжного програмного забезпечення, сервери застосунків, контейнери, середовища розробки та пристрої третьої сторони. Java-компоненти, вбудовані всередину іншого продукту, часто залишаються непоміченими під час управління вразливістю, оскільки адміністратори можуть не усвідомлювати, що окремий JDK або JRE існує всередині каталогу застосунка.

Пріоритет слід надавати системам, які:

• Приймають мережеві з’єднання з ненадійних джерел
• Виконують Java-забезпечені веб-сервіси або API
• Обробляють дані, контрольовані атакуючим
• Обробляють чутливі бізнесові або клієнтські дані
• Використовують не підтримувані релізи Java
• Використовують Java Web Start або інші моделі розгортання з залежністю від sandbox

Oracle надає патчі для Security Alert тільки для версій, які підпадають під Premier Support або Extended Support. Раніше випущені релізи не обов’язково є безпечними лише тому, що вони відсутні в таблиці уражених версій. Oracle явно рекомендує перемикати непідтримувані розгортання на підтримувані версії, оскільки старі релізи також можуть містити вразливість.

Якщо миттєве застосування патчів неможливе, організації повинні зменшити експозицію шляхом обмеження мережевого доступу до уражених сервісів, обмежити зв’язок з надійними системами та застосувати контролі на рівні застосунків, де це можливо. Ці кроки повинні розглядатися як тимчасові заходи зниження ризиків, а не замінники оновлення виробника.

Команди безпеки повинні також ретроспективно перевірити журнали застосунків та мережі. Шукайте несподіваний доступ до конфіденційних даних, підозрілі модифікації, аномальну мережеву активність Java та незвичайні запити API, які не можуть бути пояснені легітимними бізнес-операціями.

Якщо виявлено підозрілу поведінку, відповідаючі повинні:

• Ізолювати уражений вузол, де це можливо операційно.
• Зберігати журнали Java-застосунків, веб-серверів, кінцевих точок та мережі.
• Перевірити цілісність конфіденційних даних застосунків.
• Ідентифікувати облікові дані, секрети та токени, доступні для Java-процесу.
• Замінити потенційно піддані ризику облікові дані.
• Шукати несанкціоновані зміни в файлах та конфігураціях застосунку.
• Перевірити вихідні з’єднання на предмет виявлення подальшої діяльності.
• Перевірити інші системи Java з тією ж конфігурацією застосунка.

Оскільки конфіденційність та цілісність є основними впливами, визнаними Oracle, реагування на інциденти повинно включати огляд доступу до даних та їх модифікації, навіть якщо немає доказів простою.

Організації, які використовують платформу AI-Native Detection Intelligence від SOC Prime, можуть підсилити поведінковий моніторинг навколо уразливих Java-сервісів під час розгортання патчів і продовжувати полювати на активність після компромісу через їхній стек безпеки.

Відмова від відповідальності: Контент для виявлення може бути недоступний для кожного CVE. Перевірте платформу SOC Prime для наявності поточного покриття. Якщо відповідні виявлення ще не доступні, перевірте знову, тому що нові загрози та контент для виявлення додаються постійно.