Una grave falla di sicurezza (CVE-2026-91403) in Oracle Java SE e GraalVM permette attacchi remoti non autenticati. Oracle raccomanda aggiornamenti urgenti o mitigazioni alternative per proteggere i sistemi.
Oracle ha recentemente emesso un allarme di sicurezza riguardante una vulnerabilità di elevata gravità, identificata come CVE-2026-91403, che colpisce diverse versioni di Oracle Java SE e GraalVM. Questa falla permette a un attaccante remoto di sfruttare la vulnerabilità senza la necessità di autenticazione, rappresentando un rischio significativo per la confidenzialità e l'integrità dei dati.
La vulnerabilità, con un punteggio CVSS 3.1 di 9.1, è stata segnalata il 21 ottobre 2026 e riguarda specificamente il componente Java Secure Socket Extension (JSSE). Le caratteristiche tecniche che la rendono particolarmente pericolosa includono un vettore di attacco di rete, una bassa complessità nell'esecuzione dell'attacco, nessun privilegio richiesto e nessuna interazione da parte dell'utente.
A differenza di altre vulnerabilità che possono portare all'esecuzione di codice arbitrario, CVE-2026-91403 è legata a problemi di fiducia nei certificati. L'exploit sfrutta certificati intermedi compromessi emessi da eMudhra. Sebbene l'attacco possa compromettere gravemente la riservatezza e l'integrità delle informazioni, non influisce sulla disponibilità del sistema e non modifica l'ambito generale della sicurezza.
Oracle ha chiarito che l'esposizione effettiva dipende da come le applicazioni utilizzano il componente JSSE. L'attacco può verificarsi quando un servizio web fornisce dati alle API JSSE. Il rischio è maggiore in ambienti che eseguono codice non attendibile all'interno di applicazioni sandbox come Java Web Start o applet Java che si affidano al sandbox per la sicurezza.
Le versioni di Oracle Java SE interessate includono:
Oracle avverte che anche versioni precedenti potrebbero essere vulnerabili e raccomanda vivamente l'aggiornamento a versioni supportate, poiché quelle al di fuori del periodo di supporto Premier o Extended non sono state testate per questa specifica vulnerabilità.
Per le organizzazioni che non possono aggiornare immediatamente, Oracle ha fornito due misure alternative:
lib/security/blocked.certs (o blacklisted.certs per Java 8) con una versione aggiornata fornita da Oracle, assicurandosi di preservare eventuali voci personalizzate esistenti.-Dcom.sun.net.ssl.checkRevocation=true-Dcom.sun.security.enableCRLDP=trueInoltre, per la validazione dei file JAR firmati su JDK 17 e versioni successive, è possibile utilizzare il comando jarsigner -verify -revcheck -strict [SIGNED_JAR].
Queste misure temporanee aiutano a mitigare il rischio legato ai certificati compromessi, mentre si pianifica l'implementazione degli aggiornamenti software più recenti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.