// AI 威脅新聞台 · 2026年11月15日
首頁/CVE · 漏洞修補
漏洞修補嚴重JAVACVSS 9.8

Oracle Java漏洞可繞過限制操控數據

Oracle Java漏洞可讓遠程攻擊者繞過安全限制及操控數據。香港電腦保安事故協調中心於2026年10月22日披露事件。

· 閱讀 2 分鐘
AI 生成圖像，非事件現場相片
AI 生成圖像，非事件現場相片。
重點
  • Oracle Java漏洞可讓遠程攻擊者繞過安全限制及操控目標系統內的數據。
  • 受影響軟件包括香港電腦保安事故協調中心列出的Oracle Java SE、Oracle GraalVM for JDK及Oracle GraalVM Enterprise Edition版本。
  • 香港電腦保安事故協調中心通知用戶，應透過其安全警報套用Oracle發布的修補程式。

香港電腦保安事故協調中心在2026年10月22日發布的公告中表示，Oracle Java受漏洞影響，遠程攻擊者可繞過安全限制及操控目標系統內的數據，香港電腦保安事故協調中心表示。

受影響產品包括Oracle Java SE、Oracle GraalVM for JDK及Oracle GraalVM Enterprise Edition。

香港電腦保安事故協調中心亦表示，Oracle多項產品漏洞可令目標系統遭拒絕服務、權限提升、安全限制繞過、敏感資料披露及遠程執行程式碼。

本文目錄

Oracle Java更新不再信任eMudhra證書

Oracle表示，針對CVE-2026-91403的更新，會不再信任與eMudhra有關、受影響的一組中介證書機構證書。該公司表示，安全警報包含Oracle Java SE的一項新安全修補程式。

Oracle的警報沒有把所處理漏洞的報告歸功於任何人士或機構。

香港電腦保安事故協調中心列出受影響Java及GraalVM版本

香港電腦保安事故協調中心把Oracle GraalVM Enterprise Edition 21.3.20及21.3.20.0.2列為受影響技術。該中心亦列出Oracle GraalVM for JDK 17.0.21、21.0.13、17.0.21.0.2及21.0.13.0.2。

Oracle Java SE受影響版本為8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5及27.0.1。

產品版本
Oracle GraalVM Enterprise Edition21.3.20；21.3.20.0.2
Oracle GraalVM for JDK17.0.21；21.0.13；17.0.21.0.2；21.0.13.0.2
Oracle Java SE8u511；8u511-perf；11.0.33；17.0.21；21.0.13；25.0.5；27.0.1

香港電腦保安事故協調中心指用戶參閱Oracle安全警報

香港電腦保安事故協調中心通知用戶，應透過CVE-2026-91403及CVE-2026-114820安全警報，套用Oracle發布的修補程式。至於其他Oracle產品，該中心指示讀者參閱Oracle2026年10月關鍵修補程式更新。

香港電腦保安事故協調中心於2026年10月26日更新其描述、受影響技術、解決方案及相關連結。該中心指示用戶透過列出的安全警報，套用Oracle發布的修補程式。

Oracle表示，其警報包含Oracle Java SE的一項新安全修補程式。該公司沒有把所處理漏洞的報告歸功於任何人士或機構。

防守方現在要做甚麼

  1. 透過Oracle針對CVE-2026-91403及CVE-2026-114820發布的安全警報，套用供應商發布的修補程式。

常見問題

Oracle Java漏洞發生甚麼事？

香港電腦保安事故協調中心表示，多個Oracle Java漏洞可讓遠程攻擊者繞過安全限制及操控目標系統內的數據。

哪些Oracle Java版本受影響？

香港電腦保安事故協調中心列出受影響的Oracle Java SE、Oracle GraalVM for JDK及Oracle GraalVM Enterprise Edition版本。

如何修補Oracle Java漏洞？

香港電腦保安事故協調中心表示，應透過CVE-2026-91403及CVE-2026-114820安全警報，套用Oracle發布的修補程式。

Oracle針對CVE-2026-91403作出甚麼變更？

Oracle表示，其Java更新會不再信任與eMudhra有關、受影響的一組中介證書機構證書。

來源

  1. Oracle Java Security Restriction Bypass Vulnerability, HKCERT原始文件
  2. Oracle Products Multiple Vulnerabilities, HKCERT原始文件
  3. Oracle Security Alert Advisory - CVE-2026-91403, Oracle原始文件
  4. Hackers Start Probing Fresh Oracle EBS Vulnerability, SecurityWeek
  5. Java security work is becoming a daily operational burden, Help Net Security
  6. Mixed Reviews on Oracle’s Java Security Update, Threatpost
我們如何核實這篇報道
內容來源狀態
香港電腦保安事故協調中心表示，多個Oracle Java漏洞可讓遠程攻擊者繞過安全限制及操控目標系統內的數據。HKCERT已證實
香港電腦保安事故協調中心於2026年10月26日更新其描述、受影響技術、解決方案及相關連結。HKCERT已證實
受影響的Oracle GraalVM Enterprise Edition版本為21.3.20及21.3.20.0.2。HKCERT已證實
受影響的Oracle GraalVM for JDK版本為17.0.21、21.0.13、17.0.21.0.2及21.0.13.0.2。HKCERT已證實
受影響的Oracle Java SE版本為8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5及27.0.1。HKCERT已證實
Oracle表示，其針對CVE-2026-91403的更新，會不再信任與eMudhra有關、受影響的中介證書機構。Oracle已證實
Oracle表示，安全警報包含Oracle Java SE的一項新安全修補程式。Oracle已證實
Oracle表示，沒有任何人士或機構獲歸功於報告安全警報所處理的漏洞。Oracle已證實
香港電腦保安事故協調中心表示，Oracle多項產品漏洞可導致拒絕服務、權限提升、安全限制繞過、資料披露及遠程執行程式碼。HKCERT已證實
香港電腦保安事故協調中心指示讀者，其他Oracle產品應參閱Oracle2026年10月關鍵修補程式更新。HKCERT已證實
SecurityWeek報道，據Defused表示，威脅行為者已開始探測一個近期修補的Oracle E-Business Suite嚴重漏洞。SecurityWeek引述
SecurityWeek報道，CVE-2026-101767的CVSS評分為9.8，並已在Oracle的10月關鍵修補程式更新中修補。SecurityWeek引述
Defused表示，其Oracle E-Business Suite誘餌系統於10月27日記錄針對CVE-2026-101767的探索性利用嘗試。Defused, via SecurityWeek引述
SecurityWeek報道，Defused曾於6月警告，有攻擊利用Oracle E-Business Suite Payments產品中的CVE-2026-46817。Defused, via SecurityWeek引述
SecurityWeek報道，Cl0p去年利用Oracle企業管理軟件的零日漏洞，取得儲存數據。SecurityWeek引述
SecurityWeek報道，大規模Oracle E-Business Suite攻擊活動可能影響多個行業逾100間機構。SecurityWeek引述
Help Net Security報道，在逾2,000名受訪Java專業人士中，64%表示其機構逾半應用程式或工作負載使用Java或JVM。Help Net Security引述
Help Net Security報道，30%受訪者表示，DevOps團隊逾半時間用於處理JVM漏洞誤報。Help Net Security引述
Help Net Security報道，92%受訪者關注Oracle Java定價。Help Net Security引述
Help Net Security報道，81%受訪者已將Oracle Java工作負載遷移至非Oracle OpenJDK發行版、正在遷移，或計劃遷移。Help Net Security引述
Help Net Security報道，30%受訪者表示，人工智能程式碼生成工具產生逾半新Java應用程式程式碼。Help Net Security引述
Threatpost報道，Java沙盒漏洞一直是攻擊者特別成功的目標。Threatpost引述
Threatpost引述HD Moore表示，經簽署的惡意小程式仍可利用JRE漏洞逃出沙盒，在沒有程序層面沙盒的情況下攻陷系統。HD Moore, via Threatpost引述
Threatpost報道，Oracle計劃由10月開始，把Java安全更新納入季度關鍵修補程式更新安排。Threatpost引述
Threatpost報道，Oracle更改經簽署小程式的設定，使簽署確立身分，但不一定授予額外權限。Oracle, via Threatpost引述
Threatpost報道，Oracle更改預設設定，使未經簽署或自行簽署的小程式成為常態。Threatpost引述
香港電腦保安事故協調中心於2026年10月22日發布報告。HKCERT已證實

未能核實

  • CVE-2026-114820是否有獨立的Oracle公告，尚未確定。
  • 任何一個Java漏洞是否已在現實環境中遭利用，尚未確定。
  • 受影響系統或用戶數目，尚未確定。
  • CVE-2026-91403與CVE-2026-114820是否有關，尚未確定。
cveHKCERT
查看全部 漏洞修補 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok