Критическая уязвимость в Java: атака по сети без пароля и участия пользователя
Критическая уязвимость в Java: атака по сети без пароля и участия пользователя Oracle опубликовала предупреждение CVE-2026-91403 с оценкой CVSS 9.1. Проблема находится в JSSE — компоненте Java, который обеспечивает защищённые соединения TLS. По описанию Oracle, успешная атака может позволить читать, изменять и удалять данные, доступные уязвимому приложению. Для эксплуатации не нужны учётные данные, а сложность атаки оценена как низкая. В списке затронутых версий: - Java SE 8u511 / 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 и 27.0.1. - Oracle GraalVM for JDK 17.0.21 и 21.0.13. - Oracle GraalVM Enterprise Edition 21.3.20. Условия зависят от приложения: Oracle указывает на сценарии, где данные атакующего попадают в API уязвимого компонента, например через веб-сервис. Само наличие Java ещё не означает, что любой сервис можно атаковать. Администраторам стоит проверить используемые сборки Java, включая runtime внутри контейнеров, и установить исправления по инструкции поставщика. Предупреждение опубликовано 21 октября. Более ранние версии тоже могут быть затронуты — отсутствие в списке не подтверждает их безопасность. https://www.oracle.com/security-alerts/alert-cve-2026-91403.html Java Библиотека | Мы в Телеграм