Oracle เตือน CVE-2026-91403 ใน Java JSSE คะแนน 9.1: ตรวจ JVM และแพตช์อย่างไร

Oracle ออก Security Alert วันที่ 21 ตุลาคม 2026 สำหรับ CVE-2026-91403 ในส่วน JSSE ของ Oracle Java SE และ GraalVM โดยให้คะแนน CVSS 3.1 เท่ากับ 9.1 และระบุว่าอาจถูกใช้โจมตีจากเครือข่ายโดยไม่ต้องมีบัญชีผู้ใช้ ข่าวนี้มีผลกับทีมที่ดูแลแอป Java ฝั่งเซิร์ฟเวอร์และสภาพแวดล้อมที่ใช้ GraalVM เพราะการเข้าถึงส่วน JSSE อาจเกิดผ่านบริการที่รับข้อมูลหรือเชื่อมต่อ TLS แม้ผู้ใช้จะไม่ได้เรียก API ของ JSSE โดยตรง

สิ่งที่ Oracle ยืนยัน

ตารางความเสี่ยงของ Oracle ระบุผลิตภัณฑ์ Oracle Java SE, Oracle GraalVM for JDK และ Oracle GraalVM Enterprise Edition ส่วนประกอบที่เกี่ยวข้องคือ JSSE หรือ Java Secure Socket Extension ระดับการโจมตีเป็น network, ความซับซ้อนต่ำ, ไม่ต้องมีสิทธิ์และไม่ต้องให้ผู้ใช้มีส่วนร่วม ผลกระทบตามตารางคือความลับและความถูกต้องของข้อมูลระดับสูง ขณะที่ availability ไม่ถูกระบุว่ากระทบในคะแนนฐาน

Oracle ระบุเวอร์ชันที่อยู่ในขอบเขตการแจ้งเตือน ได้แก่ Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 และ 27.0.1 รวมทั้งรุ่น 8u511-perf; GraalVM for JDK 17.0.21 และ 21.0.13; GraalVM Enterprise Edition 21.3.20 รายการนี้ต้องอ่านร่วมกับเอกสาร patch availability ที่ Oracle เชื่อมไว้ ไม่ควรนำเลขเวอร์ชันจากตารางไปตีความเองว่าเป็นเลขก่อนหรือหลังแก้ทั้งหมด เพราะการติดตั้งจริงขึ้นกับสายผลิตภัณฑ์และเงื่อนไขซัพพอร์ตของแต่ละองค์กร

Oracle ไม่เปิดรายละเอียดเชิงลึกของการใช้ช่องโหว่ในหน้า alert และไม่ได้ให้ PoC สาธารณะ บทความนี้จึงไม่สรุปว่ามีการโจมตีจริงหรือบอกขั้นตอนใช้ประโยชน์จากช่องโหว่ ข้อมูลที่ตรวจสอบได้คือคะแนนและเงื่อนไขจาก risk matrix รวมถึงคำแนะนำให้อัปเดตตามเอกสารแพตช์ของ Oracle

ตรวจระบบที่ใช้งานจริงอย่างไร

เริ่มจากทำรายการ JVM ทุกจุด: เว็บแอป, batch job, message consumer, build agent และ container image ตรวจ java -version ใน runtime ที่ deploy แล้ว ไม่ใช่เพียงเครื่องของนักพัฒนา แอปเดียวอาจมี base image คนละเวอร์ชันใน staging และ production หรือมี GraalVM ฝังอยู่ในแพลตฟอร์มย่อย จึงต้องบันทึกทั้ง vendor, distribution, major line และเลข build ของแต่ละ workload

ต่อมาไล่ดูว่าใครจัดการอัปเดต runtime หากเป็น image ที่ทีมสร้างเองต้อง rebuild และ deploy ใหม่ หากเป็นบริการที่ผู้ให้บริการจัดการให้ ต้องตรวจคำประกาศของผู้ให้บริการนั้นด้วย การมีแพตช์ในเครื่องแม่ไม่เท่ากับ container หรือ executable แบบ native image เปลี่ยนตามโดยอัตโนมัติ สำหรับระบบที่ใช้ Oracle Java แบบมีสัญญาซัพพอร์ต ให้เปิด patch availability document ของสายที่ใช้อยู่และตรวจหมายเลขแพตช์ที่ติดตั้งจริงก่อนปิดงาน

สิ่งที่ควรทดสอบหลังอัปเดต

เพราะ JSSE เกี่ยวข้องกับการเชื่อมต่อปลอดภัย ควรทดสอบทั้ง TLS inbound และ outbound รวมถึงการตรวจ certificate, mutual TLS, truststore, keystore และการต่อกับบริการภายนอกที่ใช้ cipher suite ต่างกัน ตรวจ handshake error, latency และอัตราการเชื่อมต่อที่ล้มเหลวหลัง rollout แบบทยอย หากมี proxy หรือ service mesh อยู่หน้าแอป ยังต้องทดสอบการเชื่อมต่อที่ JVM เป็นผู้เริ่มเอง เพราะ proxy ไม่ครอบคลุมทุกเส้นทาง

Oracle ย้ำว่า Security Alert ให้แพตช์เฉพาะรุ่นที่อยู่ในช่วง Premier หรือ Extended Support รุ่นเก่าที่หมดซัพพอร์ตอาจไม่ได้ถูกทดสอบ แม้มีแนวโน้มว่าจะได้รับผลกระทบ ทีมที่ยังใช้รุ่นเหล่านั้นควรวางแผนอัปเกรดไปยังสายที่รองรับ พร้อมกำหนดมาตรการลดความเสี่ยงระหว่างรอ เช่น จำกัดการเข้าถึงบริการและติดตามการเชื่อมต่อผิดปกติ มาตรการเหล่านี้ช่วยระหว่างเปลี่ยนผ่าน แต่ไม่แทนการติดตั้งแพตช์

แหล่งข่าว: Oracle Security Alert วันที่ 21 ตุลาคม 2026