Oracle 於 2026 年 10 月 21 日另發 Java 安全警報，修補 JSSE 元件漏洞 CVE-2026-91403，CVSS 3.1 評分達 9.1。香港企業應重新核對實際執行中的 Java 版本及補丁狀態，不能只憑「已完成十月更新」便結案。發布日期及受影響產品見 Oracle 官方安全公告。
哪些版本需要檢查？
Oracle 安全警報列明以下受支援版本受影響：
- Oracle Java SE：8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1。
- Oracle GraalVM for JDK：17.0.21、21.0.13。
- Oracle GraalVM Enterprise Edition：21.3.20。
以上是公告列出的受影響版本，並非安全版本清單。較舊且已停止支援的版本亦不能據此視為安全。其他 Java 發行商的產品須按各自公告核對，不能直接套用 Oracle 的版本號。
盤點時亦要注意，一台主機可以同時存在多套執行環境。管理員在命令列看到的版本，未必就是網站或業務系統正在使用的版本；軟件安裝目錄、容器映像及服務啟動設定都應納入核對。委託外判商維護的系統，應要求對方提供明確版本與修補完成證據。
9.1 分代表甚麼風險？
官方風險描述指，攻擊者可透過網絡、在毋須登入及使用者互動下利用漏洞，影響資料保密性與完整性，可能未經授權讀取或修改應用程式可存取的資料。利用條件涉及呼叫 JSSE 的 API，例如網頁服務將資料傳入相關 API；依賴沙箱執行不可信程式碼的部分 Java 部署亦在範圍內。實際風險仍取決於應用程式使用方式及網絡可達性，不能將「安裝了 Java」等同「必然可被遠端入侵」。
香港 IT 團隊現在應做甚麼？
- 找出真正執行中的版本：盤點伺服器、容器、排程工作及商用軟件內附的 JRE／JDK，記錄負責人與業務用途。
- 優先處理對外服務：確認哪些應用程式使用受影響元件及接收外部輸入，按資料敏感度排定修補次序。
- 跟隨這次警報安裝補丁：依 Oracle 補丁文件或軟件供應商指引更新；由廠商內附的執行環境，先確認相容的安全版本。
- 更新後重啟並驗證：檢查應用程式程序是否已載入新執行環境，測試加密連線、登入與主要交易流程，保留版本及測試紀錄。
- 暫時未能更新時收窄暴露：限制非必要連線、降低服務帳戶權限並加強異常存取監察，同時設定明確完成期限。
防毒及端點監察可作為整體防護的一部分，但這次問題位於 Java 元件，不能以「已安裝防毒」代替修補驗收。更新計劃亦應包含備份與回復安排，避免相容性問題拖延正式修復。
已安裝 10 月 20 日補丁，還需處理嗎？
仍須逐項確認。10 月 20 日 Critical Patch Update與翌日的這份安全警報分屬不同公告；完成前者不代表已落實後者的修補。最可靠的驗收方法，是將實際執行版本與本次補丁文件逐一比對。上列盤點、排序及驗證步驟為 HK Threat Radar 給香港機構的防護建議。