甲骨文公司于10月22日发布安全通报，披露编号为CVE-2026-91403的高危安全漏洞，CVSS 3.1评分为9.1分。该漏洞影响Oracle Java SE、Oracle GraalVM for JDK及Oracle GraalVM Enterprise Edition，攻击者可在无身份验证的情况下发起攻击。
根据官方公布的信息，漏洞涉及Java安全套接字扩展（JSSE）组件，攻击复杂度较低，无需任何权限，也不需要用户交互。若漏洞被成功利用，可能对系统的机密性和完整性造成高等级影响，但不会影响系统可用性。攻击者可通过调用相关组件的API利用该漏洞，例如针对使用相关API提供数据的Web服务发起攻击。此外，客户端环境中的Java程序同样面临风险，尤其是加载并执行不可信代码、同时依赖Java沙箱提供安全保护的Java Web Start应用或Java小程序。
本次漏洞影响的版本范围覆盖多个长期维护分支，包括Oracle Java SE 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5和27.0.1；Oracle GraalVM for JDK 17.0.21、21.0.13；以及Oracle GraalVM Enterprise Edition 21.3.20。甲骨文官方已为处于高级支持和扩展支持期的产品提供补丁。
Java SE作为企业级应用开发的基础运行环境，广泛部署于金融、电信、政务及大型企业的后端系统与中间件之中。JSSE组件承担Java应用中的加密通信功能，涉及HTTPS、TLS等核心传输链路，一旦被利用，影响面可能从单一服务扩展至整个应用集群。CVSS 9.1分属于高危区间，且无需认证与用户交互的利用条件，意味着暴露在公网的服务端应用需要优先处置。
从漏洞特征看，攻击路径主要指向服务端API调用场景，这与近年来Java生态中因反序列化、组件缺陷引发的远程攻击模式有相似之处。对于仍在使用Java 8等较早版本的企业而言，由于部分版本已退出官方主流支持周期，补丁覆盖情况需结合具体支持合同确认。甲骨文在通报中建议用户尽快升级至已修复版本，未获得补丁的存量系统应评估网络暴露面并采取隔离措施。
企业软件供应链的安全治理再次因基础运行环境漏洞受到关注。Java的跨平台特性使其成为企业IT架构中难以快速替换的底层依赖，而版本碎片化进一步拉长了漏洞修复的窗口期。对于运维团队而言，本次通报的处置优先级应高于常规更新，尤其是在对外提供API服务的系统中，JSSE组件的修复不宜延后。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
