Vulnerabilità ed exploit

La falla JSSE può raggiungere anche i client Java isolati

Oracle descrive CVE-2026-114820, una vulnerabilità critica (CVSS 9.1) in JSSE che può colpire Oracle Java SE e GraalVM. Il perimetro comprende anche client Java che eseguono codice non attendibile nella sandbox, non solo servizi esposti direttamente.

Sono interessate Oracle Java SE 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2 e 27.0.1.0.2; GraalVM for JDK 17.0.21.0.2 e 21.0.13.0.2; GraalVM Enterprise Edition 21.3.20.0.2.

Un servizio web può passare dati ricevuti dalla rete alle API JSSE: basta questo uso delle API per esporre la falla, senza autenticazione né interazione dell’utente. Un attaccante può accedere ai dati disponibili al processo Java o modificarli. Limitarsi ai server Java lascia quindi fuori i client che si affidano alla sandbox per isolare codice non attendibile.

1 fonte · 9 ore fa

CVE-2026-114820

NVD KEV

Pubblicato da Oracle, 24 ott

CVSS 9.1 CRITICAL: vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JSSE).

Cronologia

Fonti

Part of the PlainSec briefing for 2026-10-24

Every edition of this story: La falla JSSE può raggiungere anche i client Java isolati

Altro da oggi