CVE-2026-73098: Esecuzione di codice in Apache Juneau

CVE-2026-73098 è una vulnerabilità di improper control of dynamically-loaded code in Apache Juneau, framework Java per serializzazione e parsing di dati. Quando Juneau parsa un valore in una proprietà di tipo java.lang.Class, il meccanismo di class swap carica la classe nominata con static initialization abilitata. Questo significa che input controllato dall'attacker può nominare una classe presente nel classpath dell'applicazione, causandone l'esecuzione dello static initializer senza autorizzazione, con impatto dipendente dalle classi presenti nel deployment.

Il CVSS score è 10,0, il massimo possibile, classificandola come critical. La vulnerabilità non richiede autenticazione, è sfruttabile da remoto e consente esecuzione di codice arbitrario. Segnali sui social network indicano amplificazione della notizia nelle ultime 24 ore (4 post). La vulnerabilità è stata pubblicata il 2026-11-05 e il vendor ha reso disponibile la versione 9.2.1 come correzione.

I team IT e CISO devono identificare immediatamente tutti i servizi che usano Apache Juneau e verificarne la versione. Aggiornare a 9.2.1 rappresenta l'azione prioritaria. In parallelo, esaminare il classpath delle applicazioni interessate per identificare classi con static initializer potenzialmente pericolosi. Se l'aggiornamento non è immediatamente possibile, implementare WAF con regole di validazione degli input e controllare i log di parsing per tentativi di sfruttamento.