甲骨文公布 Java 高危漏洞 CVE-2026-91403，9.1 分漏洞支持无认证远程调用

甲骨文正式对外发布安全预警，披露 CVE-2026-91403 这一 Java 高危漏洞，该漏洞 CVSS3.1 评分达到 9.1 分，攻击者不需要账号密码，就能通过网络远程发起调用，整体攻击门槛很低，本次官方同步推出了配套补丁，企业运维人员只需要完成版本升级就能做好防护，保障业务系统稳定运行。该漏洞出现在 Java 安全套接字扩展 JSSE 组件，这个组件主要负责程序里 SSL/TLS 加密通信，漏洞根源来自信任库内置证书存在密钥缺陷，一旦被利用，能够读取、修改业务数据，仅影响数据机密性与完整性，不会造成服务中断，整体攻击全程不需要用户点击操作，也不需要提前获取系统权限，只需要访问对外开放的网络接口即可完成调用。本次受影响的软件覆盖 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企业版多个产品线，多个长期支持版本都在风险范围之内，厂商已经完成补丁开发，用户只要把 JDK 升级到修复版本，就能直接封堵这条攻击路径，全程操作简单，不会改动原有业务代码。

一、漏洞基础信息清单

1. 漏洞编号：CVE-2026-91403

2. 风险评级：高危，CVSS 3.1 分值 9.1

3. 故障组件：Java JSSE 安全套接字扩展模块

4. 攻击条件：网络远程攻击、无需身份认证、无用户交互、低攻击复杂度

5. 业务影响：数据机密性、完整性受损，服务可用性不受影响

6. 受影响产品：Java SE、GraalVM for JDK、GraalVM Enterprise Edition

二、受影响版本明细表格

表格

三、完整防护操作步骤

1. 版本核查：先在线检测服务器、办公设备里所有 Java 运行环境，核对当前 JDK 版本是否落在受影响清单里。

2. 环境备份：升级前备份 Java 程序配置文件与运行快照，防止版本切换出现兼容性问题。

3. 安装补丁：前往甲骨文官方站点下载对应分支的更新包，完成 JDK 升级，替换原有运行环境。

4. 功能验证：重启 Java 应用，测试 TLS 加密接口、Web 服务访问功能，确认业务正常运行。

5. 基线加固：把系统内不受信任的根证书、中级证书做清理，进一步缩小安全风险面。

四、漏洞形成的技术原因

1. 证书密钥缺陷：Java 默认信任库内置的中级 CA 证书私钥强度不足，密钥数值过小，极易被暴力破解。

2.JSSE 校验机制不足：JSSE 组件对证书合法性校验存在短板，攻击者可以伪造合法 TLS 证书，完成中间人劫持。

3. 沙箱防护局限：依赖 Java 沙箱保护的小程序、Web Start 应用，会因为证书伪造绕过安全隔离机制。

五、整改完成后的效果

完成 JDK 版本升级之后，JSSE 组件的证书校验逻辑得到优化，同时剔除了存在风险的证书条目，攻击者无法再伪造证书发起远程调用，漏洞利用路径被彻底阻断，业务数据的读取与篡改风险完全消除，原有业务运行不受任何影响。

【相关 FAQ】

问题 1：CVE-2026-91403 这一 Java 高危漏洞，能不能在无需认证的情况下远程利用？

回答 1：CVE-2026-91403 这一 Java 高危漏洞完全支持无需认证的远程利用，攻击只需要通过网络访问接口，不需要账号权限，也不需要用户交互，攻击复杂度很低。

问题 2：CVE-2026-91403 漏洞 CVSS 评分为 9.1，该漏洞存在于 Java 的哪一个组件当中？

回答 2：CVE-2026-91403 漏洞 CVSS 评分为 9.1，该漏洞存在于 Java 的 JSSE 安全套接字扩展组件，负责系统 SSL/TLS 加密通信。

问题 3：面对 CVE-2026-91403 高危 Java 漏洞，最简单有效的防护手段是什么？

回答 3：面对 CVE-2026-91403 高危 Java 漏洞，最简单有效的防护手段就是把当前 JDK 升级到甲骨文发布的修复版本，同时清理系统内风险证书，即可封堵漏洞。

【数据来源】

[2026-10-22]（甲骨文发布 Java SE 高危漏洞安全警报，用户应尽快升级）

[2026-10-22]（CVE-2026-91403 Java 高危漏洞技术分析）

[2026-10-21]（CVE Record: CVE-2026-91403）CVE 官方数据库

[2026-10-21]（Oracle alerta por falla crítica en Java: CVSS 9.1）El Ecosistema Startup

免责声明：本文内容仅基于公开安全资讯整理而成，仅作技术参考；漏洞处置请以甲骨文官方安全公告给出的版本与方案为准，各业务系统升级前务必做好兼容性测试。