Oracle Java 高危漏洞波及 API 與舊式沙箱部署
Oracle 在發布涵蓋 1,209 項漏洞的 2026 年第四季關鍵修補更新後，翌日再就 Java 漏洞 CVE-2026-91403 發出安全公告。iThome 報道指出，該漏洞的 CVSS 3.1 評分為 9.1，屬可經網絡利用、毋須使用者互動且攻擊複雜度較低的高風險問題。
對香港企業而言，較直接的影響不只在個別桌面 Java 軟件：若後端 API、web service 或開發及部署環境採用受影響的 Java runtime，便應優先納入修補盤點。金融、電商及內部系統常以 Java 支撐交易、整合或服務層，IT 團隊需要確認實際運行版本，而非只檢查專案原始碼採用的 JDK 版本。
受影響版本與場景
iThome 指出，問題位於 Java Secure Socket Extension（JSSE）。已列出的受影響產品版本包括：
| 產品 | 受影響版本 |
|---|---|
| GraalVM Enterprise Edition | 21.3.20 |
| GraalVM for JDK | 17.0.21、21.0.13 |
| Java SE | 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 |
Oracle 表示，風險可出現在向 API 提供資料的 web service；另一類場景則是 Java 部署環境，尤其是會載入不受信任程式碼、依賴 Java 沙箱保護的 Java Web Start 或 Java applet 用戶端。後者雖較偏舊式部署模式，但在長年運行的企業內部系統，未必可以當作已經完全退場。
修補重點是核對實際 runtime
目前最棘手之處，是 Oracle 公開公告未有直接列出已修補的版本，而修補文件連結需要 Oracle 技術支援網站身分驗證。因此，管理員不宜僅因系統已套用 10 月的季度更新便視為風險已消除；應按官方支援文件或後續公告，逐一確認可升級的目標版本及供應商修補安排。
可先集中處理幾項工作：
- 列出 production、測試及開發環境實際使用的 Java SE 與 GraalVM runtime；
- 優先核對對外 API、接收外部資料的 web service，以及仍使用 Java Web Start 或 applet 的系統；
- 將 runtime 更新與應用程式相容性測試一併安排，避免只更新編譯環境而遺漏 server 或容器映像檔；
- 持續留意 Oracle 的正式修補版本說明及相關供應商公告。
憑證外洩關聯仍待 Oracle 證實
iThome 引述 Cyber Kendra 及同日發布的 OpenJDK 公告稱，事件或與 8 張外洩的中介 CA 憑證有關，背景是印度數碼憑證業者 eMudhra 的中介 CA 憑證外洩事故。不過，Oracle 的 CVE 公告沒有交代漏洞成因，也沒有直接確認兩者的因果關係。
因此，憑證外洩與此 CVE 的關聯目前應視為有待官方釐清的資訊，而非已證實結論。接下來值得觀察的是 Oracle 公開的修補版本，以及仍依賴較舊 Java 部署機制的企業系統會否成為優先遷移或退役對象。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 甲骨文緊急修補Java 重大漏洞，被傳與eMudhra中介憑證外洩有關 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
