CVE-2026-118636: RCE in Apache MINA 3.0 senza patch

CVE-2026-118636 interessa il modulo codec di Apache MINA 3.0, specificamente la classe JavaNativeMessageDecoder. La vulnerabilità risiede nel metodo ObjectInputStream.readObject() che elabora i byte del frame in arrivo senza alcun filtro di classe. Applicazioni che espongono questo decoder a peer non fidati sono vulnerabili a esecuzione remota di codice tramite gadget-chain attack: un attaccante che può inviare dati al decoder può eseguire codice arbitrario sul sistema.

Il punteggio CVSS è 9,8 (critical). Lo stato della vulnerabilità è critico perché il branch MINA 3.0.0 è ufficialmente inattivo e Apache non prevede di rilasciare una versione che corregga il problema. Nei dati pubblici non è registrato alcun exploit pubblico verificato, ma segnali su social media (3 post nelle ultime 24 ore) confermano che la vulnerabilità è oggetto di discussione tra operatori di sicurezza e amministratori.

Per chi gestisce applicazioni che dipendono da MINA 3.0: inventariare immediatamente gli ambienti interessati, valutare l'esposizione del decoder a peer non fidati, e pianificare un upgrade al branch MINA 2.2.X stabile come unica mitigation ufficiale. Se l'upgrade immediato non è possibile, implementare controlli di rete per limitare l'accesso alle interfacce che espongono il codec. Verificare con lo sviluppatore dell'applicazione se applicazioni proprie utilizzano MINA 3.0 e quale versione.