【漏洞预警】Oracle Java 爆严重漏洞，未登录就能改关键数据（CVE-2026-91403）

发布日期： 2026 年 10 月 22 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-91403
涉及镜像： library/openjdk — 轩辕镜像 · Docker Hub · library/eclipse-temurin — 轩辕镜像 · Docker Hub
CVSS： 9.1（Critical，CVSS 3.1）
披露时间： 2026 年 10 月 21 日（Oracle Security Alert Rev 1）
相关公告： Oracle Security Alert CVE-2026-91403

---

一、漏洞概述

Oracle 于 2026 年 10 月 21 日发布 Security Alert。问题在 JSSE（Java 的 TLS 实现）。影响 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition。

网络可达、无需登录。攻击者若能让这些组件处理不可信数据，可以创建、删除、修改或读取关键数据。公告也写明：会加载不可信代码的客户端沙箱同样可能受影响。

Docker Hub 上的 library/openjdk 和 library/eclipse-temurin 多数是 OpenJDK 或 Eclipse Temurin，不是公告里的 Oracle 构建。镜像里要先看 java -version。版本字符串对上公告点名的 Oracle 构建时，才按这份补丁处理。不要把 Temurin 或 OpenJDK 的现有标签当成已经带上同一补丁。

---

二、漏洞状态

统计截止： 2026 年 10 月 22 日（UTC+8）

公告点名的受影响构建：

---

三、影响范围

1. 怎么判断自己中没中

在容器或主机上执行 java -version，看发行方和版本号。

• 显示 Oracle Java SE、Oracle GraalVM，并且版本落在上表：按公告打补丁并重建镜像。
• 显示 Eclipse Temurin、其他 OpenJDK 发行版：这份公告没有宣布它们已经带上同一修复，也不要把它们的标签当成 Oracle 补丁。是否受同一缺陷影响，以该发行版自己的安全通告为准。
• 进程不用 JSSE 处理外部数据、也不加载不可信代码：利用面会小一些。二进制仍是点名构建时，还是要打补丁。

2. 镜像坐标

library/openjdk 与 library/eclipse-temurin 可以用来核对你现在跑的是哪一家的 JDK。它们的近期标签只说明镜像有更新，不能证明 CVE-2026-91403 已修复。Oracle 自己的容器在 Oracle Container Registry，以公告给出的已修复构建为准。

---

四、修复建议

1. 安装 Oracle 的 Security Alert 补丁（推荐）

按 Oracle Security Alert CVE-2026-91403 安装对应补丁，或换上公告写明已修复的 JDK / GraalVM 构建。然后用新的基础镜像重建业务镜像，并重启容器。

不要为这条公告去拉取 library/openjdk 或 library/eclipse-temurin 的 latest，并把它写成已修复。

Docker Hub： library/openjdk · library/eclipse-temurin

轩辕镜像： library/openjdk · library/eclipse-temurin

2. 升级后核对

再次执行 java -version，确认已经离开公告点名的构建。发行版若回移植了补丁，版本号可能仍接近旧号，以该厂商安全通告为准。

---

五、临时缓解措施

公告的修复是换掉受影响的 Oracle 构建。在补丁安装之前：

1. 收紧谁能把数据送进使用 JSSE 的服务
   这不能补上组件里的缺陷。

2. 不要用 Temurin 或 OpenJDK 标签滚动重启来代替 Oracle 补丁
   先确认镜像里的 JDK 发行方。

3. 会加载不可信代码的客户端也要纳入排查
   公告不限于服务器进程。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Oracle 的版本修复。加速拉取 OpenJDK 或 Temurin 不会自动装上这份 Security Alert。

• 站内页：library/openjdk、library/eclipse-temurin。用来核对发行方，不是修复标签。
• 确认是公告中的 Oracle 构建后，换上已打补丁的基础镜像再重建。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Oracle：Security Alert Advisory - CVE-2026-91403
• NVD：CVE-2026-91403
• Docker Hub：library/openjdk · library/eclipse-temurin
• 轩辕站内镜像页：library/openjdk · library/eclipse-temurin

---

轩辕镜像安全团队
2026 年 10 月 22 日