Oracle wydał pilną poprawkę dla Javy. Luka w JSSE ma 9,1 pkt w CVSS i nie wymaga logowania

Oracle opublikował 21 października poza standardowym harmonogramem alert bezpieczeństwa dla podatności CVE-2026-91403 w Javie. Błąd w komponencie JSSE można wykorzystać zdalnie, bez uwierzytelnienia i bez udziału użytkownika. Producent nie opisuje go jako luki umożliwiającej zdalne wykonanie kodu, ale ocenia, że grozi wyciekiem i modyfikacją danych.

Co wiadomo o CVE-2026-91403

Podatność dotyczy JSSE (Java Secure Socket Extension), czyli komponentu odpowiadającego za bezpieczną komunikację sieciową w Javie. Oracle przyznał jej 9,1 pkt w skali CVSS 3.1. Wektor oceny (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) oznacza atak przez sieć, o niskiej złożoności, bez uprawnień i bez interakcji ofiary. Wpływ na poufność i integralność danych oceniono jako wysoki, a na dostępność jako żaden.

Skutkiem udanego ataku może być dostęp do ważnych danych albo ich modyfikowanie, tworzenie i usuwanie w środowisku, do którego ma dostęp podatna aplikacja Java. Serwer może więc działać normalnie, mimo że dane zostały odczytane lub zmienione. Na tę różnicę zwracają uwagę autorzy analizy SOC Prime, firmy oferującej produkty do wykrywania zagrożeń.

Oracle wskazuje, że luka może zostać wykorzystana nie tylko w aplikacjach desktopowych. Atak jest możliwy także wtedy, gdy usługa sieciowa przekazuje dane kontrolowane przez atakującego do podatnego API. Dotyczy to również środowisk, które uruchamiają niezaufany kod i polegają na piaskownicy Javy, na przykład apletów i aplikacji Java Web Start.

Których wersji dotyczy

Według zestawienia przytoczonego przez SOC Prime podatne są następujące wydania:
Oracle Java SE 8u511 i 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 oraz 27.0.1,
Oracle GraalVM for JDK 17.0.21 i 21.0.13,
Oracle GraalVM Enterprise Edition 21.3.20.

Oracle zastrzega, że starsze, niewspierane wersje nie były testowane, ale prawdopodobnie zawierają ten sam błąd. Poprawki w alercie obejmują tylko wersje objęte wsparciem Premier lub Extended.

Czego jeszcze nie wiadomo

Oracle nie ujawnił, na czym polega błąd w kodzie ani jak wygląda pełny przebieg ataku. SOC Prime podkreśla, że twierdzeń o konkretnym złośliwym pakiecie, strukturze certyfikatu czy argumencie API nie należy uznawać za potwierdzone, dopóki producent nie opublikuje dodatkowych szczegółów.

Nie ma też publicznego kodu demonstracyjnego (PoC) ani opublikowanych wskaźników kompromitacji, takich jak adresy IP, domeny czy skróty plików. Według Rapid7, na którego powołuje się SOC Prime, luki nie było 22 października w katalogu CISA Known Exploited Vulnerabilities. CyberDefence24 zaznacza, że na podstawie oficjalnych komunikatów producentów nie można stwierdzić, aby podatności były już aktywnie wykorzystywane.

Co zalecają analitycy

Oracle zaleca instalację poprawek z dokumentacji dostępności łatek. SOC Prime radzi zacząć od inwentaryzacji wszystkich instalacji Javy, także tych dołączonych do oprogramowania komercyjnego, serwerów aplikacji, kontenerów i urządzeń zewnętrznych, bo osobne środowisko JDK lub JRE bywa w nich pomijane. W pierwszej kolejności warto sprawdzić systemy przyjmujące połączenia z niezaufanych źródeł, udostępniające usługi lub API oparte na Javie i przetwarzające dane klientów.

Jeśli natychmiastowa aktualizacja nie jest możliwa, analitycy proponują tymczasowo ograniczyć dostęp sieciowy do podatnych usług. Podkreślają przy tym, że to rozwiązanie doraźne. Zalecają też przejrzenie logów pod kątem nietypowego dostępu do danych, nieoczekiwanych zmian w aplikacjach oraz nietypowych połączeń wychodzących z procesów Javy.

CyberDefence24 zwraca uwagę, że nie każda aplikacja używająca Javy jest automatycznie podatna. Znaczenie mają wersja środowiska, sposób użycia komponentu i to, czy atakujący może dostarczyć do niego przygotowane dane.

Zbieg z poprawkami dla PHP i Node.js

Alert Oracle pojawił się w tym samym czasie co awaryjne wydanie poprawek dla PHP, w którym według SOC Prime usunięto krytyczne podatności CVE-2026-109618 i CVE-2026-109619. W komunikacie z 22 października Ministerstwo Cyfryzacji, powołując się na CERT Polska, napisało, że luki w PHP pozwalają na zdalne wykonanie poleceń systemowych. Dotyczą wszystkich wersji od 5.4 wzwyż. Centralny Ośrodek Informatyki czasowo wyłączył strony BIP działające w systemie SSDIP.

Podatności w Javie i PHP różnią się charakterem. W przypadku PHP mowa o możliwości wykonania poleceń, w Javie Oracle wskazuje na naruszenie poufności i integralności danych.

21 października ujawniono też lukę CVE-2026-111497 w dekoderze Brotli w Node.js. Błąd typu out-of-bounds write może według twórców platformy prowadzić do zdalnego wykonania kodu. Dotyczy gałęzi 22.x, 24.x i 26.x, a poprawki zawierają wydania 22.23.4, 24.22.1 i 26.12.1.