跳转到内容 可访问性政策 描述 受影响的产品和补丁信息 安全漏洞通过此安全警报解决，影响下列产品。请点击下面补丁可用性文档列中的链接，以获取补丁可用性信息和安装说明。 受影响的产品和版本 补丁可用性文档 甲骨文 GraalVM 企业版，版本 21.3.20 Java SE 甲骨文 GraalVM for JDK，版本 17.0.21，21.0.13 Java SE 甲骨文 Java SE，版本 8u511，8u511-perf，11.0.33，17.0.21，21.0.13，25.0.5，27.0.1 Java SE 安全警报 支持的产品和版本 通过安全警报计划发布的补丁仅适用于在生命周期支持政策的首选支持或扩展支持阶段中包含的产品版本。甲骨文建议客户规划产品升级，以确保当前运行的版本可以获得通过安全警报计划发布的补丁。未在首选支持或扩展支持下的产品版本未经过测试，以确认是否存在通过此安全警报所解决的漏洞。然而，早期版本的受影响发布也可能受到这些漏洞的影响。因此，甲骨文建议客户升级至受支持的版本。 参考资料 甲骨文关键补丁更新，关键安全补丁更新，安全警报和通告 甲骨文关键补丁更新，关键安全补丁更新和安全警报 - 常见问题 风险矩阵定义 甲骨文对常见漏洞评分系统（CVSS）的使用 英文文本版本的风险矩阵 CSAF JSON 版本的风险矩阵 CVE 到咨询/警报的映射 甲骨文生命周期支持政策 JEP 290 参考 黑名单过滤器 风险矩阵内容 风险矩阵仅列出此咨询相关补丁新解决的安全漏洞。以前安全补丁的风险矩阵可以在之前的关键补丁更新咨询、关键安全补丁更新咨询和警报中找到。此文档提供的风险矩阵的英文文本版本在这里。 安全漏洞采用 CVSS 版本 3.1 评分（请参见甲骨文 CVSS 评分以了解甲骨文如何应用 CVSS 版本 3.1）。甲骨文对每个通过安全警报解决的安全漏洞进行分析。甲骨文不会向客户披露此安全分析的详细信息，但生成的风险矩阵和相关文档提供有关利用漏洞所需条件和成功利用的潜在影响的信息。甲骨文提供此信息，以便客户能够根据其产品使用的具体情况进行自己的风险分析。有关更多信息，请参见甲骨文漏洞披露政策。 被认定为在甲骨文产品中不易被利用的第三方组件漏洞列在各自甲骨文产品的风险矩阵下，附有 VEX 理由。风险矩阵中的协议暗示其所有安全变体也受影响。例如，如果列出了 HTTP 作为受影响协议，则意味着 HTTPS 也受到影响。仅在一个变体受到影响时，风险矩阵中才会列出协议的安全变体。 信用声明 以下人员或组织向甲骨文报告了此安全警报解决的安全漏洞：此安全警报中未提及任何信用。 修改历史 日期 备注 2026年10月21日 修订 1。初始发布。 甲骨文 Java SE 风险矩阵 此安全警报包含 1 个针对甲骨文 Java SE 的新安全补丁。此漏洞可在无需身份验证的情况下远程利用，即可在不需要用户凭据的情况下通过网络进行利用。此风险矩阵的英文文本形式可以在这里找到。 CVE ID 产品 组件 协议 无需身份验证的远程利用？ CVSS 版本 3.1 风险（参见风险矩阵定义） 支持的版本 受影响的备注 基础评分 攻击矢量 攻击复杂性 所需权限 用户交互 范围 机密性 完整性 可用性 CVE-2026-91403 甲骨文 Java SE，甲骨文 GraalVM for JDK，甲骨文 GraalVM 企业版 JSSE 多个 是 9.1 网络 低 无 无 无变更 高 高 无 甲骨文 Java SE: 8u511，8u511-perf，11.0.33，17.0.21，21.0.13，25.0.5，27.0.1; 甲骨文 GraalVM for JDK: 17.0.21，21.0.13; 甲骨文 GraalVM 企业版: 21.3.20 见备注 1 备注：此漏洞可通过使用在指定组件中的 API 被利用，例如，通过提供数据给 API 的网络服务。此漏洞还适用于 Java 部署，通常在运行沙盒的 Java Web Start 应用程序或沙盒 Java 小程序的客户端，以加载和运行不受信任的代码（例如，来自互联网的代码）并依赖 Java 沙盒。