// AI 威胁新闻台 · 2026年11月15日
首页/CVE · 漏洞修补
漏洞修补严重JAVACVSS 9.8

Oracle Java漏洞可绕过限制操纵数据

Oracle Java漏洞可能让远程攻击者绕过安全限制并操纵数据。香港电脑保安事故协调中心于2026年10月22日披露了该问题。

· 阅读 2 分钟
AI 生成图像，非事件现场照片
AI 生成图像，非事件现场照片。
重点
  • Oracle Java漏洞可能让远程攻击者绕过安全限制并操纵目标系统上的数据。
  • 受影响软件包括香港电脑保安事故协调中心列出的Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition版本。
  • 香港电脑保安事故协调中心告诉用户，通过其安全警报应用Oracle发布的修复程序。

香港电脑保安事故协调中心在2026年10月22日发布的一份公告中表示，Oracle Java受到漏洞影响，可能让远程攻击者绕过安全限制并操纵目标系统上的数据，香港电脑保安事故协调中心称。

受影响产品包括Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition。

香港电脑保安事故协调中心还表示，多个Oracle产品漏洞可能让攻击者在目标系统上实施拒绝服务、权限提升、绕过安全限制、披露敏感信息和远程代码执行。

本文目录

Oracle的Java更新不再信任eMudhra证书

Oracle表示，针对CVE-2026-91403的更新不再信任与eMudhra有关的受影响中间证书颁发机构证书集合。该公司表示，安全警报包含一个针对Oracle Java SE的新安全补丁。

Oracle的警报没有将所处理漏洞的报告归功于任何个人或组织。

香港电脑保安事故协调中心列出受影响的Java和GraalVM版本

香港电脑保安事故协调中心将Oracle GraalVM Enterprise Edition 21.3.20和21.3.20.0.2列为受影响技术。该中心还列出Oracle GraalVM for JDK 17.0.21、21.0.13、17.0.21.0.2和21.0.13.0.2。

对于Oracle Java SE，受影响版本为8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5和27.0.1。

产品版本
Oracle GraalVM Enterprise Edition21.3.20；21.3.20.0.2
Oracle GraalVM for JDK17.0.21；21.0.13；17.0.21.0.2；21.0.13.0.2
Oracle Java SE8u511；8u511-perf；11.0.33；17.0.21；21.0.13；25.0.5；27.0.1

香港电脑保安事故协调中心指引用户查看Oracle安全警报

香港电脑保安事故协调中心告诉用户，通过针对CVE-2026-91403和CVE-2026-114820的安全警报应用Oracle发布的修复程序。对于其他Oracle产品，该中心指引读者查看Oracle2026年10月关键补丁更新。

香港电脑保安事故协调中心于2026年10月26日更新了其描述、受影响技术、解决方案和相关链接。该中心指引用户通过列出的安全警报应用Oracle发布的修复程序。

Oracle表示，其警报包含一个针对Oracle Java SE的新安全补丁。Oracle没有将警报所处理漏洞的报告归功于任何个人或组织。

防守方现在要做什么

  1. 通过Oracle针对CVE-2026-91403和CVE-2026-114820的安全警报，应用供应商发布的修复程序。

常见问题

Oracle Java漏洞发生了什么？

香港电脑保安事故协调中心表示，多个Oracle Java漏洞可能让远程攻击者绕过安全限制并操纵目标系统上的数据。

哪些Oracle Java版本受到影响？

香港电脑保安事故协调中心列出了受影响的Oracle Java SE、Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition版本。

如何修复Oracle Java漏洞？

香港电脑保安事故协调中心表示，通过针对CVE-2026-91403和CVE-2026-114820的安全警报应用Oracle发布的修复程序。

Oracle针对CVE-2026-91403做了什么更改？

Oracle表示，其Java更新不再信任与eMudhra有关的受影响中间证书颁发机构证书集合。

来源

  1. Oracle Java Security Restriction Bypass Vulnerability, HKCERT原始文件
  2. Oracle Products Multiple Vulnerabilities, HKCERT原始文件
  3. Oracle Security Alert Advisory - CVE-2026-91403, Oracle原始文件
  4. Hackers Start Probing Fresh Oracle EBS Vulnerability, SecurityWeek
  5. Java security work is becoming a daily operational burden, Help Net Security
  6. Mixed Reviews on Oracle’s Java Security Update, Threatpost
我们如何核实这篇报道
内容来源状态
香港电脑保安事故协调中心表示，多个Oracle Java漏洞可能让远程攻击者绕过安全限制并操纵目标系统上的数据。HKCERT已证实
香港电脑保安事故协调中心于2026年10月26日更新了其描述、受影响技术、解决方案和相关链接。HKCERT已证实
受影响的Oracle GraalVM Enterprise Edition版本为21.3.20和21.3.20.0.2。HKCERT已证实
受影响的Oracle GraalVM for JDK版本为17.0.21、21.0.13、17.0.21.0.2和21.0.13.0.2。HKCERT已证实
受影响的Oracle Java SE版本为8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5和27.0.1。HKCERT已证实
Oracle表示，其针对CVE-2026-91403的更新不再信任与eMudhra有关的受影响中间证书颁发机构。Oracle已证实
Oracle表示，安全警报包含一个针对Oracle Java SE的新安全补丁。Oracle已证实
Oracle表示，没有任何个人或组织被列为安全警报所处理漏洞的报告者。Oracle已证实
香港电脑保安事故协调中心表示，多个Oracle产品漏洞可能导致拒绝服务、权限提升、绕过安全限制、信息披露和远程代码执行。HKCERT已证实
香港电脑保安事故协调中心指引读者查看Oracle2026年10月关键补丁更新，以了解其他Oracle产品。HKCERT已证实
SecurityWeek报道称，据Defused称，威胁行为者已开始探测一个最近修补的关键Oracle E-Business Suite漏洞。SecurityWeek引述
SecurityWeek报道称，CVE-2026-101767的CVSS评分为9.8，并已在Oracle的10月关键补丁更新中修补。SecurityWeek引述
Defused表示，其Oracle E-Business Suite诱饵系统于10月27日记录了针对CVE-2026-101767的探索性利用尝试。Defused, via SecurityWeek引述
SecurityWeek报道称，Defused曾于6月警告，有攻击利用Oracle E-Business Suite Payments产品中的CVE-2026-46817。Defused, via SecurityWeek引述
SecurityWeek报道称，Cl0p去年利用Oracle企业管理软件中的零日漏洞访问存储的数据。SecurityWeek引述
SecurityWeek报道称，大规模Oracle E-Business Suite活动可能影响了多个行业的100多家组织。SecurityWeek引述
Help Net Security报道称，在2000多名受调查的Java专业人士中，64%表示其所在组织超过一半的应用或工作负载使用Java或JVM。Help Net Security引述
Help Net Security报道称，30%的受访者表示，DevOps团队超过一半的时间都在处理JVM漏洞误报。Help Net Security引述
Help Net Security报道称，92%的受访者担心Oracle Java定价。Help Net Security引述
Help Net Security报道称，81%的受访者已经将Oracle Java工作负载迁移至、正在迁移至或计划迁移至非Oracle OpenJDK发行版。Help Net Security引述
Help Net Security报道称，30%的受访者表示，AI代码生成工具生成了其新Java应用代码的一半以上。Help Net Security引述
Threatpost报道称，Java沙箱漏洞一直是攻击者特别成功的目标。Threatpost引述
Threatpost引述HD Moore的话称，在没有进程级沙箱的情况下，带有签名的恶意小程序仍可能利用JRE漏洞逃出沙箱并危害系统。HD Moore, via Threatpost引述
Threatpost报道称，Oracle计划从10月开始将Java安全更新纳入其季度关键补丁更新计划。Threatpost引述
Threatpost报道称，Oracle更改了带签名的小程序，使签名能够确立身份，但不一定授予额外权限。Oracle, via Threatpost引述
Threatpost报道称，Oracle更改了默认设置，使未签名或自签名小程序成为常态。Threatpost引述
香港电脑保安事故协调中心于2026年10月22日发布了报告。HKCERT已证实

未能核实

  • CVE-2026-114820是否有单独的Oracle公告尚未确定。
  • 这两个Java漏洞是否已在现实环境中遭到利用尚未确定。
  • 受影响的系统或用户数量尚未确定。
  • CVE-2026-91403和CVE-2026-114820是否有关联尚未确定。
HKCERTcve
查看全部 漏洞修补 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok