【幾時收工 ... 😭】Oracle 剛剛宣布旗下廣泛應用的 Java 執行環境存在一項嚴重安全漏洞，漏洞編號為 CVE-2026-91403。此漏洞在通用弱點評分系統（CVSS）獲得高達 9.1 的危險評級（滿分 10 分），屬於「嚴重」（Critical）級別。攻擊者在無須取得任何帳號密碼或系統權限的前提下，即可直接透過網絡發動遠端攻擊，威脅全球各大企業後台與雲端應用程式，管理員們必須立即打「丁*」。(編者按︰補丁*)

 

根據官方安全通報指出，本次缺陷出現在 Java 安全通訊端擴充套件（Java Secure Socket Extension，簡稱 JSSE）核心模組中。JSSE 主要負責處理 Java 平台的傳輸層安全性協定（TLS）通訊，為企業系統提供資料傳輸加密與伺服器身分驗證。

 

該漏洞同樣是「見光死」級別，遠端攻擊者只要具備網絡存取路徑，即可利用多種通訊協定直接向目標伺服器發送惡意請求。整個攻擊流程無須使用者互動，亦不需要任何帳號身分驗證，若未及時修補，恐導致伺服器通訊遭到攔截或環境遭受入侵。

 

本次受影響的產品範圍相當廣泛，涵蓋多個長期支援（LTS）版本與高效能執行階段環境，包括 Java SE：8u511（含 8u511-perf）、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1，以及 Oracle GraalVM for JDK / Oracle GraalVM Enterprise Edition 系列 21.3.20 相關版本或以下所有版本。

 

鑑於 JSSE 是全球無數企業級應用、Web API 與伺服器應用的基礎組件，資安專家提醒系統管理人員應保持高度警覺。企業應立即清查內部各主機與容器的 Java 執行環境版本，並依照官方建議儘速更新至最新版本。

 

 

 

資料來源:

 

• Oracle Security Alert Advisory - CVE-2026-91403