CVE-2026-114820: Vulnerabilità critica in Oracle Java e GraalVM

CVE-2026-114820 CVSS 9,1: accesso non autenticato a dati in Oracle Java e GraalVM.

Il CVE-2026-114820 è una vulnerabilità nel componente JSSE di Oracle Java SE, GraalVM for JDK e GraalVM Enterprise Edition. La falla consente a un attaccante non autenticato, da rete, di modificare e accedere senza autorizzazione ai dati critici. Il vector CVSS (AV:N/AC:L/PR:N/UI:N) conferma il basso sforzo d'attacco: nessuna autenticazione, nessuna interazione utente. Impatto su confidenzialità e integrità dei dati, con potenziale sandbox escape per applet Java o Web Start.

Con CVSS 9,1, CVE-2026-114820 è classificata come critica. La vulnerabilità è stata pubblicata su NVD il 24 ottobre 2026. Coerente con la criticità, è segnalato oggi (30 ottobre) l'arrivo su GitHub di un tool di inventario offline che identifica build di Java e GraalVM vulnerabili: segnale che il tema è rilevante e che gli attaccanti possono valutare bersagli.

Le azioni di difesa devono essere immediate: 1) Inventariare istanze di Java SE e GraalVM in uso. 2) Verificare versioni: Java SE 8u511-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2; GraalVM for JDK 17.0.21.0.2, 21.0.13.0.2; GraalVM Enterprise 21.3.20.0.2. 3) Monitorare Critical Patch Update di Oracle e applicare patch senza ritardo. 4) Monitorare anomalie su servizi JSSE. 5) Riesaminare sandboxing e trust policy per applet.

In sintesi

Cosa: Vulnerabilità nel componente JSSE (Java Secure Socket Extension) di Oracle Java SE (versioni 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2), Oracle GraalVM for JDK (17.0.21.0.2, 21.0.13.0.2) e Oracle GraalVM Enterprise Edition (21.3.20.0.2). Consente accesso non autenticato da rete all'esecuzione di operazioni non autorizzate sui dati critici.
Gravità: CVSS 3.1 9,1 (Confidentiality: High, Integrity: High, Availability: None). Attacco di rete facilmente sfruttabile, nessuna autenticazione richiesta, nessuna interazione utente necessaria.
Versioni interessate: Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2; Oracle GraalVM for JDK: 17.0.21.0.2, 21.0.13.0.2; Oracle GraalVM Enterprise Edition: 21.3.20.0.2.
Correzione: Patch disponibili nei Critical Patch Update di Oracle. Per aggiornamenti e dettagli, consultare i security bulletin ufficiali di Oracle. Build o numero patch specifico non disponibile nei dati verificati.
Stato: Pubblicata su NVD il 24 ottobre 2026. Segnalato tool di detection pubblico su GitHub (30 ottobre 2026) per identificare build di Java e GraalVM interessate.
Azione: 1) Inventariare tutte le istanze di Oracle Java SE, GraalVM JDK e GraalVM Enterprise Edition in uso. 2) Verificare le versioni rispetto alla lista pubblicata. 3) Monitorare i Critical Patch Update di Oracle per patch di sicurezza e applicarle senza ritardo. 4) Monitorare applicazioni e servizi che usano JSSE per anomalie. 5) Per ambienti con applet Java o Web Start, riesaminare policy di sandboxing.

Fonti: NVD, CVE-2026-114820

← Tutti gli articoli