10月22日，甲骨文发了个安全通报，编号 CVE-2026-91403，CVSS 3.1 评分 9.1。这个分数在漏洞评级里属于“别再拖了”的档位。
出问题的不是边角料，是 Java 安全套接字扩展，也就是 JSSE——所有走 TLS 的连接都得经过它。官方描述里三个“不需要”很扎眼：不需要身份验证、不需要任何权限、不需要用户交互。攻击复杂度还低。翻译过来就是，只要你的服务暴露在外面，攻击者能连上，就有机会打。
影响范围列一下，对号入座比什么都快：Oracle Java SE 的 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1；Oracle GraalVM for JDK 的 17.0.21、21.0.13；以及 GraalVM Enterprise Edition 21.3.20。
后果是机密性和完整性受影响，可用性不受影响。这句话得拆开看——“可用性不受影响”意味着服务不会崩，也就意味着你可能根本不知道被打过。数据被读走了、配置被改了，日志上看不出异常，这类漏洞最阴。
还有一类场景更容易中招：加载并执行不可信代码、又指望 Java 沙箱兜底的 Web Start 应用和小程序。沙箱一旦被穿，等于门锁失灵。
实际操作上，Oracle 已经给高级支持和扩展支持的产品出了补丁。你要做的就三件事：先把 JDK 版本查清楚（java -version，别信配置文件里写的），再去官网下对应补丁，然后重启服务——这一步最容易被忘，很多人升级完没重启，跑的还是旧进程。
顺便说句不中听的。企业里 Java 版本混乱是常态，一个部门三套 JDK，谁也不敢动，因为“动了怕出事”。结果就是老版本一直挂着，漏洞一直开着。这次的 9.1 分不是让你评估风险的，是让你今晚加班。
如果实在没法立刻升级，退一步的做法是：把用不到的 JSSE 相关服务关掉、把管理端口从公网摘下来、在前面挡一层能做 TLS 终止的反代。这些只是缓解，不是修复。别把缓解当解决。