发布日期： 2026 年 10 月 22 日 风险等级： 严重（Critical） 漏洞编号： CVE-2026-91403 涉及镜像： library/openjdk — 轩辕镜像 · Docker Hub · library/eclipse-temurin — 轩辕镜像 · Docker Hub CVSS： 9.1（Critical，CVSS 3.1） 披露时间： 2026 年 10 月 21 日（Oracle Security Alert Rev 1） 相关公告： Oracle Security Alert CVE-2026-91403
—
一、漏洞概述
Oracle 于 2026 年 10 月 21 日发布 Security Alert。问题在 JSSE（Java 的 TLS 实现）。影响 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM Enterprise Edition。
网络可达、无需登录。攻击者若能让这些组件处理不可信数据，可以创建、删除、修改或读取关键数据。公告也写明：会加载不可信代码的客户端沙箱同样可能受影响。
Docker Hub 上的 library/openjdk 和 library/eclipse-temurin 多数是 OpenJDK 或 Eclipse Temurin，不是公告里的 Oracle 构建。镜像里要先看 java -version。版本字符串对上公告点名的 Oracle 构建时，才按这份补丁处理。不要把 Temurin 或 OpenJDK 的现有标签当成已经带上同一补丁。
—
二、漏洞状态
统计截止： 2026 年 10 月 22 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（Oracle Security Alert） |
| 漏洞类型 | JSSE 组件，未认证即可影响关键数据 |
| 官方补丁 | 安装该 Security Alert 对应的补丁，或换上 Oracle 标明已修复的构建。公告没有给出可以写成 Docker 标签的修复版本号 |
| CISA KEV | 未列入 |
公告点名的受影响构建：
| 产品 | 点名版本 |
|---|---|
| Oracle Java SE | 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 |
| Oracle GraalVM for JDK | 17.0.21、21.0.13 |
| Oracle GraalVM Enterprise Edition | 21.3.20 |
—
三、影响范围
1. 怎么判断自己中没中
在容器或主机上执行 java -version，看发行方和版本号。
- 显示 Oracle Java SE、Oracle GraalVM，并且版本落在上表：按公告打补丁并重建镜像。
- 显示 Eclipse Temurin、其他 OpenJDK 发行版：这份公告没有宣布它们已经带上同一修复，也不要把它们的标签当成 Oracle 补丁。是否受同一缺陷影响，以该发行版自己的安全通告为准。
- 进程不用 JSSE 处理外部数据、也不加载不可信代码：利用面会小一些。二进制仍是点名构建时，还是要打补丁。
2. 镜像坐标
library/openjdk 与 library/eclipse-temurin 可以用来核对你现在跑的是哪一家的 JDK。它们的近期标签只说明镜像有更新，不能证明 CVE-2026-91403 已修复。Oracle 自己的容器在 Oracle Container Registry，以公告给出的已修复构建为准。
—
四、修复建议
1. 安装 Oracle 的 Security Alert 补丁（推荐）
按 Oracle Security Alert CVE-2026-91403 安装对应补丁，或换上公告写明已修复的 JDK / GraalVM 构建。然后用新的基础镜像重建业务镜像，并重启容器。
不要为这条公告去拉取 library/openjdk 或 library/eclipse-temurin 的 latest，并把它写成已修复。
Docker Hub： library/openjdk · library/eclipse-temurin
轩辕镜像： library/openjdk · library/eclipse-temurin
2. 升级后核对
再次执行 java -version，确认已经离开公告点名的构建。发行版若回移植了补丁，版本号可能仍接近旧号，以该厂商安全通告为准。
—
五、临时缓解措施
公告的修复是换掉受影响的 Oracle 构建。在补丁安装之前：
- 收紧谁能把数据送进使用 JSSE 的服务
这不能补上组件里的缺陷。
- 不要用 Temurin 或 OpenJDK 标签滚动重启来代替 Oracle 补丁
先确认镜像里的 JDK 发行方。
- 会加载不可信代码的客户端也要纳入排查
公告不限于服务器进程。
—
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Oracle 的版本修复。加速拉取 OpenJDK 或 Temurin 不会自动装上这份 Security Alert。
- 站内页：library/openjdk、library/eclipse-temurin。用来核对发行方，不是修复标签。
- 确认是公告中的 Oracle 构建后，换上已打补丁的基础镜像再重建。
- 配置与排错见 轩辕镜像使用手册 、 镜像拉取 FAQ。
—
七、参考链接
- Oracle：Security Alert Advisory – CVE-2026-91403
- NVD：CVE-2026-91403
- Docker Hub：library/openjdk · library/eclipse-temurin
- 轩辕站内镜像页：library/openjdk · library/eclipse-temurin
—
轩辕镜像安全团队 2026 年 10 月 22 日