Уязвимость в компоненте JSSE библиотеки Oracle Java SE позволяет обойти ограничения безопасности Java и получить доступ к данным приложения либо изменить их. JSSE - набор классов Java для защищённых сетевых соединений поверх TLS. Проблема затрагивает Oracle Java SE, Oracle GraalVM for JDK и Oracle GraalVM Enterprise Edition, включая ветки 8, 11, 17, 21, 25 и 27. Учётные данные для атаки не нужны, участие пользователя не требуется.
Как эксплуатируется CVE-2026-91403 в компоненте JSSE
Атака идёт по сети с низкой сложностью, при этом злоумышленник не проходит аутентификацию и не взаимодействует с пользователем. Оценка по шкале CVSS 3.1 - 9.1 из 10. Страдают конфиденциальность и целостность: посторонний может читать данные приложения и создавать, удалять или изменять их. Доступность сервиса при этом не нарушается.
Эксплуатация опирается на программный интерфейс (API) компонента JSSE, то есть набор функций, которые приложение вызывает для установки защищённого соединения. Типичный сценарий - веб-сервис, передающий внешние данные в такие функции. Второй сценарий - клиентские приложения Java, работающие в песочнице (изолированной среде): апплеты и приложения Java Web Start, которые загружают недоверенный код из интернета и полагаются на песочницу как на среду безопасности. В матрице риска протокол указан как Multiple, поэтому затронуты разные протоколы, которые поддерживает JSSE, включая их защищённые варианты.
Исправление вышло 21 октября 2026 года в виде внеочередного Security Alert - первой редакции. Патч доступен для Oracle Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 и 27.0.1. Для Oracle GraalVM for JDK исправление выпущено в версиях 17.0.21 и 21.0.13, для Oracle GraalVM Enterprise Edition - в версии 21.3.20. Обновлённые сборки с теми же номерами версий Oracle приводит в документе о доступности патчей, ссылка на него есть на странице алерта.
Патчи распространяются только на версии в фазах Premier Support или Extended Support, то есть на те, для которых вендор ещё выпускает исправления. Более ранние сборки на наличие этой уязвимости не тестировались, хотя, по оценке Oracle, они также затронуты. Поэтому владельцам устаревших установок вендор предлагает перейти на поддерживаемые версии. Обходных мер, кроме обновления, Oracle в материалах алерта не приводит.
Сведений об эксплуатации в реальных атаках и о публичном эксплойте (вредоносном коде, использующем уязвимость) в документах Oracle нет, в кредитной строке никого не указали. В отличие от квартальных Critical Patch Update, где закрывают десятки уязвимостей, здесь исправление одно, и установить его отдельно от общего цикла имеет смысл. Java-серверы, веб-сервисы и клиенты, выполняющие недоверенный код, находятся под угрозой в первую очередь. Хуже всего, что для атаки достаточно сетевого доступа, а настройки песочницы на этот путь не влияют.
Первым делом проверьте, какие ветки Java SE или GraalVM работают на серверах приложений и на узлах, принимающих внешние данные. Затем поставьте сборки из документа о доступности патчей и сверьте номера версий после установки. Для неподдерживаемых релизов планируйте переход на актуальную ветку, поскольку другие исправления для них выходить не будут. После обновления перезапустите сервисы, работающие на затронутом JDK, потому что исправление затрагивает классы JSSE, загружаемые при старте процесса.
Значимость проблемы определяется сочетанием сетевого доступа без аутентификации и высокого влияния на данные. Один патч в отдельном алерте ставится за минуты, а окно риска при его отсутствии остаётся открытым для любого узла, который виден из сети.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-91403
- https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
