CVE-2026-91403：严重的Oracle Java SE和GraalVM漏洞使远程攻击成为可能

Oracle 发布了一个非计划安全警报，解决了 CVE-2026-91403，这是一个影响 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition 的关键漏洞。安全问题位于 Java 安全套接字扩展 (JSSE) 组件中，并具有 9.1 的 CVSS v3.1 分数。

该漏洞无需身份验证即可远程利用。根据 Oracle 的说法，攻击者可以通过多种协议网络访问，未经自证和用户交互即可攻破易受攻击的 Java 环境。成功利用可以暴露关键数据，允许未经授权的修改、创建或删除由受影响的 Java 运行时访问的信息。

Rapid7 将该缺陷分类为关键，并确认其 CVSS 矢量为 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N。这意味着可以通过网络进行利用，攻击复杂性低，不需要任何权限或受害者交互，会对机密性和完整性产生高影响。

Java 在企业网络服务、后台应用程序、中间件、API 和业务关键基础设施中的广泛部署增加了潜在的暴露。组织因此应识别受影响的 Java 和 GraalVM 运行时，并优先考虑 Oracle 的安全警报修补程序。

希望寻找 CVE-2026-91403 检测机会的安全团队应监控 Java 服务是否存在异常的网络交互、意外的证书或 TLS 相关故障、可疑的子进程和对敏感应用数据的非正常访问。

SOC Prime 的 AI 原生检测智能平台可以通过映射到 MITRE ATT&CK 的检测内容以及可用于多个 SIEM、EDR 和数据湖环境，帮助安全团队加强对新兴漏洞利用的防御。

点击 探索检测 来访问相关的 SOC 内容和狩猎逻辑。为了检测 CVE-2026-91403 和相关的利用后行为，防御者应结合 Java 应用程序遥测、网络监控、端点可见性和服务级别日志。

安全团队还可以利用 Prime Architect 将新兴漏洞情报转化为 Sigma 规则，生成狩猎查询，验证检测逻辑，并在支持的安全平台间翻译检测。

联系销售

CVE-2026-91403 分析

CVE-2026-91403 影响 Java 应用程序使用的 JSSE 组件以提供安全通信能力。Oracle 描述该漏洞容易被利用，并确认攻击可以远程通过多种协议发起，而无需身份验证。

供应商尚未公开披露基础编程错误或完整的利用序列。Oracle 的漏洞披露政策故意限制技术细节以防止武器化，同时客户部署补丁。因此，关于特定恶意数据包、证书结构、API 参数或利用原语的声明不应被视为已确认，除非 Oracle 公开其他技术信息。

CVE-2026-91403 影响以下支持的 Oracle 版本：

• Oracle Java SE 8u511 和 8u511-perf
• Oracle Java SE 11.0.33
• Oracle Java SE 17.0.21
• Oracle Java SE 21.0.13
• Oracle Java SE 25.0.5
• Oracle Java SE 27.0.1
• Oracle GraalVM for JDK 17.0.21
• Oracle GraalVM for JDK 21.0.13
• Oracle GraalVM Enterprise Edition 21.3.20

Oracle 还警告未受支持的早期版本未进行测试，但可能包含安全警报解决的漏洞。因此，仍在运行不受支持 Java 分支的组织不应假设它们不受影响。

攻击面不仅限于独立的 Java 桌面应用程序。Oracle 特别指出，利用可以通过易受攻击组件公开的 API 发生，包括 web 服务将攻击者控制的数据传递给这些 API 的情况。

供应商还指出，该问题适用于在依赖于 Java 沙盒保护的情况下执行不可信代码的 Java 部署，包括沙盒化的 Java Web Start 应用程序和 Java 小应用程序。

CVE-2026-91403 的细节显示对机密性和完整性产生特别严重的影响。Oracle 将这两种影响评为高，但未赋予直接的可用性影响。一个成功的攻击者可能会未经授权地访问关键应用程序数据，或修改、创建和删除可通过受损 Java 环境访问的信息。

对于事件响应而言，这一区别非常重要。组织不应仅专注于服务中断。一个易受攻击的服务器可能在敏感信息被访问或应用数据被修改的同时继续正常运作。

在发布之时，Rapid7 和 Oracle 均未提供公共的 CVE-2026-91403 PoC 或充足的技术利用说明以独立重现该漏洞。截止到 2026 年 10 月 22 日，Rapid7 还将该问题列为 CISA 已知利用漏洞目录中的缺席项目。

同样，主要来源尚未发布特定于活动的 CVE-2026-91403 IOC，例如恶意 IP 地址、域名、散列或载荷签名。这限制了纯粹基于指标的狩猎的效果，使行为可见性变得更加重要。

安全团队应监控面向 Java 的服务以发现：

• 到达 Java 应用程序或 web 服务的意外网络请求
• 异常 TLS 或 JSSE 相关错误
• 没有相应合法活动的应用数据更改
• 意外的身份验证或授权异常
• Java 进程启动的不正常的出站连接
• Java 应用程序启动的未识别子进程
• 对文件、配置或应用资源的更改
• 紧接在不正常数据访问之前的可疑 API 请求

由于完整的利用机制仍未披露，这些行为无法单独证明利用。在结合漏洞曝光和特定应用程序 telemetries 时，应将其作为调查的支点。

CVE-2026-91403 缓解

Oracle 发布了一个专用的安全警报于 2026 年 10 月 21 日，而不是等待以后的计划安全周期。管理员应尽快根据 Oracle 修补可用性文档中引用的修补程序进行修复。

组织应首先清点所有 Java 安装，包括与商业软件捆绑的运行时、中间件产品、应用服务器、容器、开发环境和第三方设备。嵌入在其他产品中的 Java 组件在漏洞管理期间通常会被忽视，因为管理员可能不了解应用程序目录中存在单独的 JDK 或 JRE。

应该优先于以下系统：

• 接受来自不受信任来源的网络连接
• 公开 Java 支持的 web 服务或 API
• 处理攻击者控制的输入
• 处理敏感的业务或客户数据
• 运行不受支持的 Java 版本
• 使用 Java Web Start 或其他依赖沙盒的部署模型

Oracle 仅为在 Premier Support 或 Extended Support 涵盖下的版本提供安全警报补丁。没有被列入受影响版本表的早期版本不一定安全。Oracle 明确建议将不受支持的部署迁移到受支持版本，因为旧版本可能也包含此漏洞。

如果无法立即打补丁，组织应通过限制对受影响服务的网络访问、将通信限制到受信系统和在可行范围内应用应用程序级别的访问控制来减少暴露。这些步骤应被视为临时风险降低措施，而不是供应商更新的替代方案。

安全团队还应回顾以往的应用程序和网络日志。寻找对敏感数据的意外访问、可疑更改、异常的 Java 网络活动以及无法通过合法业务操作解释的异常 API 请求。

如果发现可疑行为，响应人员应：

• 在操作上允许的情况下，隔离受影响的主机。
• 保留 Java 应用程序、web 服务器、终端和网络日志。
• 检查敏感应用数据的完整性。
• 识别可由 Java 进程访问的凭据、密钥和令牌。
• 轮换可能曝光的凭据。
• 搜索应用程序文件和配置的未经授权更改。
• 检查出站连接是否有后续活动的迹象。
• 验证同一应用程序配置的其他 Java 系统。

因为机密性和完整性是 Oracle 识别的主要影响，所以即使没有停机的证据，事件响应也应包括数据访问和数据修改审查。

使用 SOC Prime 的 AI 原生检测智能平台的组织可以在漏洞补丁推出期间，加强对易受攻击的 Java 服务的行为监控，并继续在安全栈中寻找妥协后的活动。

免责声明： 并非每个 CVE 都有检测内容可用。检查 SOC Prime 平台以获取当前覆盖范围。如果相关检测尚未可用，请继续检查，因为新的威胁情报和检测内容持续增加。