Стежити Oracle випустила позачергове повідомлення про безпеку для усунення вразливості CVE-2026-91403, критичної вразливості, що впливає на Oracle Java SE, Oracle GraalVM для JDK і Oracle GraalVM Enterprise Edition. Проблема безпеки знаходиться у компоненті Java Secure Socket Extension (JSSE) і має оцінку CVSS v3.1 9.1.
Вразливість можна експлуатувати дистанційно без аутентифікації. За інформацією Oracle, зловмисник з мережевим доступом через кілька протоколів може скомпрометувати вразливі середовища Java без надання облікових даних або вимоги до взаємодії з користувачем. Успішна експлуатація може розкрити критичні дані та дозволити несанкціоновану модифікацію, створення або видалення інформації, доступної в ураженому середовищі Java.
Rapid7 класифікує цю уразливість як критичну і підтверджує вектор CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Це означає, що експлуатація може відбуватись через мережу з низькою складністю атаки, не вимагає привілеїв або взаємодії з жертвою, і може мати високий вплив на конфіденційність і цілісність.
Широке використання Java в корпоративних веб-сервісах, бекенд-застосунках, проміжному програмному забезпеченні, API та критичній для бізнесу інфраструктурі збільшує потенційний ризик. Організації повинні виявляти уражені середовища Java і GraalVM та пріоритетно впроваджувати виправлення Oracle.
Команди безпеки, які шукають можливості для виявлення CVE-2026-91403, повинні моніторити Java-сервіси на предмет аномальних мережевих взаємодій, неочікуваних проблем з сертифікатами або TLS, підозрілих дочірніх процесів і незвичайного доступу до чутливих даних застосунків.
AI-Native Detection Intelligence Platform від SOC Prime може допомогти командам безпеки підсилити захист від експлуатації нових вразливостей, забезпечуючи контент для виявлення, прив’язаний до MITRE ATT&CK® і доступний для різних середовищ SIEM, EDR і Data Lake.
Клікніть Досліджуйте виявлення , щоб отримати доступ до відповідного контенту SOC і логіки полювання. Для виявлення CVE-2026-91403 та супутньої постексплуатаційної поведінки захисники повинні поєднувати телеметрію Java-застосунків, моніторинг мереж, видимість кінцевих точок і логи на рівні сервісів.
Команди безпеки можуть також використовувати Prime Architect, щоб трансформувати дані про нові вразливості в правила Sigma, генерувати запити для полювання, валідувати логіку виявлення та транслювати виявлення на підтримувані платформи безпеки.
Аналіз CVE-2026-91403
CVE-2026-91403 впливає на компонент JSSE, що використовується Java-застосунками для забезпечення безпечного зв’язку. Oracle описує вразливість як легку у експлуатації і підтверджує, що атаки можуть проходити віддалено через декілька протоколів без аутентифікації.
Вендор не розкривав публічно помилку програмування або повну послідовність експлуатації. Політика розкриття вразливостей Oracle навмисно обмежує технічні деталі, які могли б сприяти зброїлованню, поки клієнти впроваджують патчі. Тому твердження про конкретний помилковий пакет, структуру сертифікату, аргумент API або примітив експлуатації не повинні вважатися підтвердженими, поки Oracle не опублікує додаткову технічну інформацію.
CVE-2026-91403 впливає на такі підтримувані версії Oracle:
- Oracle Java SE 8u511 і 8u511-perf
- Oracle Java SE 11.0.33
- Oracle Java SE 17.0.21
- Oracle Java SE 21.0.13
- Oracle Java SE 25.0.5
- Oracle Java SE 27.0.1
- Oracle GraalVM для JDK 17.0.21
- Oracle GraalVM для JDK 21.0.13
- Oracle GraalVM Enterprise Edition 21.3.20
Oracle також застерігає, що більш старі непідтримувані версії не тестувались, але, ймовірно, містять вразливості, усунені в повідомленні про безпеку. Організації, які все ще використовують непідтримувані гілки Java, не повинні припускати, що вони не постраждали.
Поверхня атаки є ширшою, ніж у автономних десктопних застосунках Java. Oracle конкретно зазначає, що експлуатація може відбуватися через API, відкриті уразливим компонентом, включаючи ситуації, коли веб-сервіс передає дані, контрольовані зловмисником, до цих API.
Вендор також заявляє, що проблема стосується Java-деплоїв, які виконують ненадійний код, покладаючись на Java-пісочницю для захисту, включаючи застосунки Java Web Start і аплети Java.
Деталі CVE-2026-91403 показують особливо серйозні наслідки для конфіденційності та цілісності. Oracle оцінює обидва впливи як Високі, при цьому не зазначається жодного прямого впливу на наявність. Успішний зловмисник може потенційно отримати несанкціонований доступ до критичних даних застосунку або змінювати, створювати і видаляти інформацію, доступну у скомпрометованому середовищі Java.
Це розмежування є важливим для реагування на інциденти. Організації не повинні фокусуватися виключно на порушеннях у роботі сервісів. Уразливий сервер може продовжувати нормально функціонувати, в той час як отримується доступ до чутливої інформації або змінюються дані застосунків.
На момент публікації ні Rapid7, ні Oracle не надає публічного доказу концепції PoC або достатніх технічних інструкцій для самостійного відтворення вразливості CVE-2026-91403. Rapid7 також вказує на відсутність проблеми в каталозі CISA про відомі експлуатовані вразливості станом на 22 жовтня 2026 року.
Також, жодні специфічні для кампанії індикатори компрометації CVE-2026-91403, такі як шкідливі IP-адреси, домени, хеші або підписи навантажень не були опубліковані в основних джерелах. Це обмежує ефективність суто індикаторного полювання і підкреслює важливість поведінкової видимості.
Команди безпеки повинні моніторити сервісні підключення Java на предмет:
- Неочікувані мережеві запити, що виходять на Java-застосунки або веб-сервіси
- Аномальні помилки TLS або пов’язаних з JSSE помилок
- Зміни у даних застосунків без відповідної легітимної діяльності
- Неочікувані аномалії аутентифікації або авторизації
- Процеси Java, що ініціюють незвичайні вихідні з’єднання
- Незнайомі дочірні процеси, запущені застосунками Java
- Зміни файлів, конфігурації або ресурсів застосунків
- Підозрілі API-запити, що безпосередньо передують ненормальному доступу до даних
Оскільки повна механіка експлуатації залишається невідомою, ці поведінки не можуть довести експлуатацію самі по собі. Їх слід розглядати як пункти розслідування, коли вони поєднуються з експозицією вразливостей і специфічною телеметрією застосунків.
Міри зниження ризику CVE-2026-91403
Oracle випустила спеціальне повідомлення про безпеку 21 жовтня 2026 року, а не чекала на наступний запланований цикл безпеки. Адміністраторам слід якнайшвидше застосувати патчі, вказані у документації про доступність патчів Oracle.
Організації повинні спочатку провести інвентаризацію всіх установок Java, включаючи середовища, що додаються з комерційним програмним забезпеченням, продуктами проміжного програмного забезпечення, серверами застосунків, контейнерами, середовищами розробки та сторонніми пристроями. Компоненти Java, вбудовані в інший продукт, часто не враховуються під час управління вразливостями, оскільки адміністратори можуть не усвідомлювати, що окремий JDK або JRE існує в каталозі застосунку.
Пріоритет слід надавати системам, які:
- Приймають мережеві підключення з ненадійних джерел
- Надають веб-сервіси або APIs на основі Java
- Обробляють дані, контрольовані атакуючим
- Обробляють важливі для бізнесу або клієнтські дані
- Використовують спарадження Java без підтримки
- Використовують моделі розгортання, що залежать від Java Web Start або інших пісочниць
Oracle надає патчі для сповіщень безпеки тільки для версій, які покриваються Premier Support або Extended Support. Раніші версії не обов’язково є безпечними лише тому, що вони відсутні в таблиці уражених версій. Oracle наполегливо рекомендує перенос непідтримуваних розгортань на підтримувані версії, оскільки старіші релізи також можуть містити вразливість.
Якщо негайне нанесення патчів неможливе, організаціям слід зменшити експозицію шляхом обмеження мережевого доступу до уражених сервісів, обмеження комунікації до довірених систем, і застосування контролю доступу на рівні застосунків, де це можливо. Ці кроки повинні розглядатись як тимчасові заходи зі зниження ризику, а не як заміна оновлення від вендора.
Команди безпеки також повинні ретроспективно переглянути логи застосунків і мереж. Шукайте неочікувані доступи до чутливих даних, підозрілі зміни, аномальну мережеву активність Java та незвичайні запити API, які неможливо пояснити легітимними бізнес-операціями.
Якщо виявлено підозрілу поведінку, респонденти повинні:
- Ізолювати уражений хост, якщо це можливо.
- Зберігти логи Java-застосунків, веб-серверів, кінцевих точок і мереж.
- Перевірити цілісність чутливих даних застосунків.
- Визначити облікові дані, секрети та токени, доступні Java-процесу.
- Переверніть потенційно скомпрометовані облікові дані.
- Шукайте несанкціоновані зміни у файлових та конфігураційних застосунках.
- Перевірте вихідні з’єднання на наявність ознак подальшої активності.
- Контролюйте інші Java-системи з такою ж конфігурацією застосунків.
Оскільки конфіденційність і цілісність є основними впливами, виявленими Oracle, реагування на інциденти повинно включати перевірку доступу до даних і огляд модифікацій даних, навіть якщо немає ознак простою.
Організації, що використовують AI-Native Detection Intelligence Platform від SOC Prime, можуть підсилити поведінковий моніторинг навколо уразливих Java-сервісів, поки впроваджуються патчі, і продовжувати полювати на діяльність після компрометації в своїй стратегії безпеки.
Відмова від відповідальності: Контент для виявлення може бути недоступним для кожної CVE. Перевіряйте платформу SOC Prime для поточного покриття. Якщо відповідні виявлення ще не доступні, перевіряйте знову, оскільки нові загрози інформації та контент для виявлення додаються безперервно.
FAQ
Що таке CVE-2026-91403 і як це працює?
CVE-2026-91403 є критичною уразливістю в компоненті JSSE Oracle Java SE, Oracle GraalVM для JDK і Oracle GraalVM Enterprise Edition. Oracle підтверджує, що неаутентифікований зловмисник з мережевим доступом може експлуатувати цю уразливість через декілька протоколів. До уразливого компонента також можна дістатись непрямо, коли веб-сервіс надає інформацію, контрольовану зловмисником, для відповідних API. Успішна експлуатація може розкрити критичні дані і дозволити несанкціоновану модифікацію, створення або видалення інформації, доступної для ураженого середовища Java. Oracle не розкрив публічно повний механізм технічної експлуатації.
Коли вперше була виявлена CVE-2026-91403?
Точна дата виявлення публічно не опублікована. Ідентифікатор CVE був зарезервований 14 вересня 2026 року, а Oracle публічно оголосила про свою Безпеку 21 жовтня 2026 року. Консультація Oracle не надає кредит зовнішньому дослідникові або організації, які повідомили про проблему.
Який вплив CVE-2026-91403 на системи?
Успішна експлуатація може призвести до несанкціонованого доступу до критичних або повних даних застосунку і дозволити зловмисникам створювати, змінювати або видаляти інформацію, доступну через уражене середовище Java. Oracle присвоює Високий вплив на конфіденційність і цілісність, зазначаючи при цьому відсутність прямого впливу на наявність. Вразливість має оцінку 9.1 за CVSS v3.1 і не вимагає аутентифікації або взаємодії з користувачем.
Чи може CVE-2026-91403 все ще впливати на мене у 2026 році?
Так. Системи, що використовують уражені випуски Oracle Java SE або GraalVM, залишаються під загрозою до встановлення відповідних оновлень безпеки. Організації повинні також оцінити старі непідтримувані випуски Java. Oracle стверджує, що ці версії не тестувались, але можуть містити ті самі вразливості, і рекомендує перенестися на підтримуване програмне забезпечення.
Як я можу захистити себе від CVE-2026-91403?
Застосуйте патчі Oracle для безпеки та оновіть уразливі інсталяції Java та GraalVM відповідно до вказівок щодо доступності патчів від постачальника. Проведіть інвентаризацію Java середовищ в усій інфраструктурі, включаючи копії, вбудовані в сторонні застосунки. Пріоритет надайте службам, що виходять в інтернет, та застосункам, що обробляють невірогідні дані, обмежте мережеву експозицію, де неможливе негайне нанесення патчів, та моніторьте Java-сервіси на підозрілу мережеву активність і несанкціонований доступ до чутливих даних. Якщо припускається компрометація, ізолюйте уражені системи, зберігайте телеметрію для судового розбору, перевірте цілісність даних застосунків, оновіть потенційно скомпрометовані секрети та досліджуйте пов’язані системи для ознак латеральної або наступної активності.
