Vulnerabilità · 4 ore fa

La sandbox Java non garantisce isolamento dalla falla JSSE

Oracle ha segnalato il 22 ottobre una falla critica in JSSE, componente di Java SE e GraalVM, sfruttabile da remoto senza autenticazione. L'avviso include anche gli ambienti Java in sandbox che eseguono codice non affidabile: l'isolamento non esclude impatti sulla riservatezza o sull'integrità del sistema.

INCIBE elenca come interessate Oracle Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 e 27.0.1; Oracle GraalVM for JDK 17.0.21 e 21.0.13; GraalVM Enterprise Edition 21.3.20.

Oracle rimanda alla patch prevista dal proprio avviso e raccomanda il passaggio a una versione supportata. La fonte non specifica quale release corregga la falla: per chi esegue codice non affidabile in sandbox, la verifica dello stato della patch resta decisiva per valutare il confine di isolamento.

CVE-2026-91403

NVD KEV

Pubblicato da Oracle, 21 ott

CVSS 9.1 CRITICAL: vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: JSSE).

Cronologia

Fonti

1 fonte che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-10-22

Editions

Storie correlate