遠端 Oracle Linux 10 / 9 主機中安裝的套件受到 ELSA-2026-9693 公告中提及的多個弱點影響。

    [1:25.0.3.0.9-1.0.1]
    - 新增 Oracle 供應商錯誤 URL [Orabug: 34340155]

    [1:25.0.3.0.9-1]
    - jdk-25.0.3+9 的更新 (GA)
    - 更新 25.0.3+9 的版本資訊
    - 將 FIPS 修補程式更新至 57722aab802 版本與 25.0.3+8 同步
    - 中斷本機 libpng 修補程式現在上游包含 JDK-8372534、JDK-8375063 和 JDK-8377526
    - 中斷本機 HarfBuzz 修補程式現在上游包含 JDK-8375057
    - 遵循 JDK-8373290 和 JDK-8379158 將 freetype 版本升級至 2.14.2 
    - 遵循 JDK-8379256 和 JDK-8380078 將 giflib 版本升級至 6.1.2 
    - 遵循 JDK-8380959 和 JDK-8382047 將 libpng 版本升級至 1.6.57 
    - 遵循 JDK-8378631將 zlib 版本升級至 1.3.2 
    - 執行 JDK-8379035 之後將 tzdata 版本升級至 2026a
    - 在 之前新增 JDK-8375294 EOPNOTSUPP 修補程式 25.0.4
    - 將可攜式規格檔的複本與最新更新同步
    - ** 此 tarball 封鎖期限為 2026 年 4 月 21 日 @ 太平洋時間 (PT)。 **
    - 解決：RHEL-169620
    - 解決：RHEL-157091
    - 解決：RHEL-161217
    - 解決：RHEL-161333
    - 解決：RHEL-169613

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 10 主機已安裝受到多個弱點影響的套件如 ALSA-2026:9693 公告中所提及。

    * JDK增強 crypto 演算法支援 (CVE-2026-22007)
      * JDK已改善 Arena 配置 (CVE-2026-22008)
      * JDK改善 Kerberos 認證 (CVE-2026-22013)
      * JDK增強 Path Factory Redux (CVE-2026-22016)
      * JDK增強 Zip 檔案讀取 (CVE-2026-22018)
      * JDK增強憑證鏈驗證 (CVE-2026-22021)
      * JDK更新 FreeType 2.14.1 (CVE-2026-23865)
      * JDK增強 TLS 連線處理 (CVE-2026-34282)
      * JDK增強金鑰產生功能 (CVE-2026-34268)


    此版本也會更新 JDK 中隨附的數個第三方程式庫。程式庫本身會受到下列 CVE 影響但這並不代表 JDK 本身會受到影響

      * giflib透過 EGifGCBToExtension 中的緩衝區溢位造成拒絕服務 (CVE-2026-26740)
      * libpng在 Neon 調色盤擴充中透過超出邊界讀取/寫入造成資訊洩漏和拒絕服務 (CVE-2026-33636)
      * libpng因釋放後使用弱點導致的任意程式碼執行 (CVE-2026-33416)


    錯誤修正：

      * 複製檔案時基於效能理由OpenJDK 25 偏好使用 copy_file_range 原生函式而只會在失敗時回復至 sendfile。不過在之前的 OpenJDK 25 版本中EOPNOTSUPP (不支援作業) 的回應並未造成 JDK 回歸至 sendfile。此版本已更正此問題。(AlmaLinux-169939、AlmaLinux-169937)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Java 版本受到 2026 年 4 月 CPU 公告中提及的多個弱點影響。

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：JAXP)。受影響的支援版本是 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、17.0.18、21.0.10、25.0.2、26；Oracle GraalVM for JDK：17.0.18 和 21.0.10；
    Oracle GraalVM 企業版：21.3.17。此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-22016)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 產品中的弱點 (元件：Networking)。受影響的支援版本是 Oracle Java SE：8u481-perf、11.0.30、17.0.18、21.0.10、25.0.2;、26；Oracle GraalVM for JDK：17.0.18 和 21.0.10；Oracle GraalVM 企業版：21.3.17。此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。
    如果成功攻擊此弱點，攻擊者未經授權即可導致 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM 企業版懸置或經常重複性當機 (完全 DOS)。
    注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-34282)

  - 已透過改善記憶體處理解決此問題。已在 Safari 26.3、iOS 18.7.5 和 iPadOS 18.7.5、iOS 26.3 和 iPadOS 26.3、macOS Tahoe 26.3、visionOS 26.3 中修復此問題。遠端攻擊者可能會造成拒絕服務。(CVE-2026-20652)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Azul Zulu 版本是 6.79.0.14 之前的 6 版 / 7.85.0.12 之前的 7 版 / 8.93.0.18 之前的 8 版 / 11.87.18 之前的 11 版 / 17.65.18 之前的 17 版 / 21.49.18 之前的 21 版 / 25.33.16 之前的 25 版 / 26.30.12 之前的 26 版。因此，它受到 2026-04-21 公告中所提及的多個弱點影響。

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：JAXP)。受影響的支援版本是 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、17.0.18、21.0.10、25.0.2、26；Oracle GraalVM for JDK：17.0.18 和 21.0.10；
    Oracle GraalVM 企業版：21.3.17。此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-22016)

  - 已透過改善記憶體處理解決此問題。已在 Safari 26.3、iOS 18.7.5 和 iPadOS 18.7.5、iOS 26.3 和 iPadOS 26.3、macOS Tahoe 26.3、visionOS 26.3 中修復此問題。遠端攻擊者可能會造成拒絕服務。(CVE-2026-20652)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：Security)。受影響的支援版本是 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、17.0.18、21.0.10、25.0.2、26；Oracle GraalVM for JDK：17.0.18 和 21.0.10；
    Oracle GraalVM 企業版：21.3.17。攻擊此弱點的難度較大，未經驗證的攻擊者若登入執行 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版的基礎架構，即可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若成功攻擊此弱點，則可能導致在未經授權的情況下讀取 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版的部分可存取資料。注意：
    使用指定元件中的 API 也可以利用此弱點，例如透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-22007、CVE-2026-34268)

  - Oracle Java SE 中存有弱點 (元件：Libraries)。受影響的支援版本為 Oracle Java SE：25.0.1。攻擊此弱點的難度較大，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE。若成功攻擊此弱點，攻擊者未經授權即可更新、插入或刪除部分 Oracle Java SE 可存取資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2026-22008)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：JGSS)。受影響的支援版本是 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、17.0.18、21.0.10、25.0.2、26；Oracle GraalVM for JDK：17.0.18 和 21.0.10；
    Oracle GraalVM 企業版：21.3.17。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若要成功攻擊，必須有攻擊者以外之他人的互動。若攻擊成功，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版可存取資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2026-22013)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 10 / 9 主機已安裝受到多個弱點影響的套件如 RHSA-2026:9693 公告中所提及。

    OpenJDK 25 套件提供 OpenJDK 25 Java Runtime Environment 和 OpenJDK 25 Java Software Development Kit。

    安全性修正：

    * JDK增強 crypto 演算法支援 (CVE-2026-22007)

    * JDK已改善 Arena 配置 (CVE-2026-22008)

    * JDK改善 Kerberos 認證 (CVE-2026-22013)

    * JDK增強 Path Factory Redux (CVE-2026-22016)

    * JDK增強 Zip 檔案讀取 (CVE-2026-22018)

    * JDK增強憑證鏈驗證 (CVE-2026-22021)

    * JDK更新 FreeType 2.14.1 (CVE-2026-23865)

    * JDK增強 TLS 連線處理 (CVE-2026-34282)

    * JDK增強金鑰產生功能 (CVE-2026-34268)

    此版本也會更新 JDK 中隨附的數個第三方程式庫。程式庫本身會受到下列 CVE 影響但這並不代表 JDK 本身會受到影響

    * giflib透過 EGifGCBToExtension 中的緩衝區溢位造成拒絕服務 (CVE-2026-26740)

    * libpng在 Neon 調色盤擴充中透過超出邊界讀取/寫入造成資訊洩漏和拒絕服務 (CVE-2026-33636)

    * libpng因釋放後使用弱點導致的任意程式碼執行 (CVE-2026-33416)

    錯誤修正：

    * 複製檔案時基於效能理由OpenJDK 25 偏好使用 copy_file_range 原生函式而只會在失敗時回復至 sendfile。不過在之前的 OpenJDK 25 版本中EOPNOTSUPP (不支援作業) 的回應並未造成 JDK 回歸至 sendfile。此版本已更正此問題。 (RHEL-169939、 RHEL-169937)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Oracle Java SE 中的弱點 (元件Libraries)。受影響的支援版本是 Oracle Java SE 25.0.1。攻擊此弱點的難度較大，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE。若成功攻擊此弱點，攻擊者未經授權即可更新、插入或刪除部分 Oracle Java SE 可存取資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2026-22008)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機安裝的 OpenJDK 版本是在 8u482 之前 / 11.0.0 之前 11.0.30 / 21.0.017.0.021.0.1026.0.017.0.1825.0.025.0.226.0.0 之前 。因此，該網站受到 2026-04-21 公告中提及的多項漏洞影響。

請注意：Java CVE 不一定會包含 OpenJDK 版本，但 Tenable 會使用所提及的 OpenJDK 安全公告中的修補程式版本予以單獨確認。

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：JAXP)。受影響的支援版本包括 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、、17.0.1821.0.1025.0.2、、26;Oracle GraalVM for JDK： 17.0.18 和21.0.10;
    Oracle GraalVM 企業版：21.3.17。此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版可存取資料。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-22016)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 產品中的弱點 (元件：Networking)。受影響的支援版本是 Oracle Java SE：
    8u481-穿孔，11.0.30， 17.0.18， 21.0.10， 25.0.2， 26;Oracle GraalVM for JDK： 17.0.18 和21.0.10;Oracle GraalVM 企業版： 21.3.17 此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。如果成功攻擊此弱點，攻擊者未經授權即可導致 Oracle Java SE、Oracle GraalVM for JDK 和 Oracle GraalVM 企業版懸置或經常重複性當機 (完全 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-34282)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM 企業版產品中的弱點 (元件：JSSE)。受影響的支援版本包括 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、、17.0.1821.0.1025.0.2、、26;Oracle GraalVM for JDK： 17.0.18 和21.0.10;
    Oracle GraalVM 企業版：21.3.17。此弱點較易攻擊成功，能夠透過 HTTPS 存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若攻擊成功，攻擊者可在未經授權的情況下造成 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版局部拒絕服務 (局部 DOS)。注意：使用指定之元件中的 API 可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。此弱點亦適用於 Java 部署，通常是在執行沙箱隔離的 Java Web Start 應用程式或沙箱隔離的 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。(CVE-2026-22021)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 的 Oracle Java SE 產品（元件：JGSS）存在漏洞。受影響的支援版本包括 Oracle Java SE：8u481、8u481-b50、8u481-perf、11.0.30、、17.0.1821.0.1025.0.2、、26;Oracle GraalVM for JDK： 17.0.18 和21.0.10;
    Oracle GraalVM 企業版：21.3.17。攻擊此弱點具有難度，能夠透過多個通訊協定存取網路的未經驗證的攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版。若要成功攻擊，必須有攻擊者以外之他人的互動。若攻擊成功，攻擊者未經授權即可存取重要資料，或完整存取所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM 企業版可存取資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。此弱點不適用於僅載入並執行受信任程式碼 (例如，系統管理員安裝的程式碼) 的 Java 部署，此部署通常在伺服器中。(CVE-2026-22013)

  - Freetype 函式庫的 tt_var_load_item_variation_store 函式在某些版本 2.13.2 中出現整數溢位，且 2.13.3 在解析 OpenType 變數字型中的 HVAR/VVAR/MVAR 表格時，可能允許超出範圍讀取操作。2.14.2 版已修正此問題。(CVE-2026-23865)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
310026	Oracle Linux 10 / 9 java-25-openjdk (ELSA-2026-9693)	Nessus	Oracle Linux Local Security Checks	2026/4/23	2026/4/23	high
310149	AlmaLinux 10 java-25-openjdk (ALSA-2026:9693)	Nessus	Alma Linux Local Security Checks	2026/4/24	2026/4/24	high
309197	Oracle Java SE 多個弱點 (2026 年 4 月 CPU)	Nessus	Misc.	2026/4/22	2026/4/24	high
309082	Azul Zulu Java 多個弱點 (2026 年 4 月 21 日)	Nessus	Misc.	2026/4/21	2026/4/23	high
309745	RHEL 10 / 9 java-25-openjdk (RHSA-2026:9693)	Nessus	Red Hat Local Security Checks	2026/4/22	2026/4/22	high
309648	Linux Distros 未修補的弱點：CVE-2026-22008	Nessus	Misc.	2026/4/22	2026/4/29	low
310406	OpenJDK 8 <= 8u482 / 11.0.0 <= 11.0.30 / 17.0.0 <= 17.0.18 / 21.0.0 <= 21.0.10 / 25.0.0 <= 25.0.2 / 26.0.0 <= 26.0.0 多重漏洞（2026-04-21）	Nessus	Misc.	2026/4/27	2026/4/27	high

偵測

搜尋 Plugin

high

high

high

high

high

low

high