CVE-2026-87293
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w Oracle Java SE (komponent RMI) w wersjach 8u503 i 8u503-perf oraz w Oracle GraalVM Enterprise Edition 21.3.19.1.1. Nieuwierzytelniony atakujący z dostępem sieciowym może dokonać nieautoryzowanej aktualizacji, wstawienia lub usunięcia części danych oraz nieautoryzowanego odczytu podzbioru danych; atak może wpłynąć na inne produkty (zmiana zakresu).
Ocena ryzyka
Może dojść do naruszenia integralności i poufności danych w aplikacjach korzystających z RMI. Podatność jest trudna do wykorzystania, ale wymaga jedynie dostępu sieciowego bez uwierzytelnienia.
Rekomendacja
Zaktualizuj Oracle Java SE i Oracle GraalVM Enterprise Edition do wersji z poprawką oraz ogranicz ekspozycję usług RMI na sieci.
Inne podatności w Oracle Java SE
Zobacz wszystkie- CVE-2026-91382Średnie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent 2D), dotyczy m.in. wersji 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1 i 21.3.19.1.1. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na naruszenie integralności danych i częściową odmowę usługi.
- CVE-2026-91381Niskie
Podatność w Oracle Java SE i Oracle GraalVM Enterprise Edition (komponent 2D) w wersjach 8u503, 8u503-perf i 21.3.19.1.1. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na modyfikację, wstawianie lub usuwanie części danych; dotyczy także środowisk z sandboxem Java Web Start/aplikacji.
- CVE-2026-91380Średnie
Podatność w komponencie Utility produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem logowania do infrastruktury na nieautoryzowaną modyfikację i odczyt części danych. Może być wykorzystana przez API komponentu, np. przez usługę sieciową dostarczającą dane, a także w środowiskach Java uruchamiających niezaufany kod w sandboxie.
- CVE-2026-91379Średnie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JDK tools), dotyczy m.in. wersji 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1 i 27. Trudna do wykorzystania luka wymaga zalogowania do infrastruktury oraz interakcji użytkownika i może prowadzić do nieautoryzowanej modyfikacji danych.
- CVE-2026-91375Średnie
Podatność w bibliotekach Oracle Java SE (komponent Libraries) dotyczy trudnych w wykorzystaniu ataków wymagających zalogowania do infrastruktury i interakcji użytkownika. Udana eksploatacja może pozwolić na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych.
- CVE-2026-91374Średnie
Podatność w komponencie Serviceability produktów Oracle Java SE, GraalVM for JDK i GraalVM Enterprise Edition umożliwia trudny w wykorzystaniu atak przez sieć. Może skutkować nieautoryzowaną aktualizacją, wstawianiem lub usuwaniem danych oraz nieautoryzowanym odczytem podzbioru danych.
- CVE-2026-101516Średnie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Libraries) dotyczy wielu obsługiwanych wersji. Łatwo wykorzystywalna luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na nieautoryzowaną aktualizację, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt podzbioru danych.
- CVE-2016-3552Wysokie
Nieokreślona podatność w Oracle Java SE 8u92 pozwala lokalnym użytkownikom wpływać na poufność, integralność i dostępność poprzez wektory związane z instalacją.
- CVE-2016-3449Wysokie
Nieokreślona podatność w Oracle Java SE 6u113, 7u99 i 8u77 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez wektory związane z wdrożeniem.
- CVE-2015-4901Wysokie
Nieokreślona podatność w Oracle Java SE 8u60 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z JavaFX.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in Oracle Java SE (component: RMI). Supported versions that are affected are Oracle Java SE: 8u503 and 8u503-perf; Oracle GraalVM Enterprise Edition: 21.3.19.1.1. Difficult to exploit vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. While the vulnerability is in Oracle Java SE, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE accessible data as well as unauthorized read access to a subset of Oracle Java SE accessible data. Note: This vulnerability can only be exploited by supplying data to APIs in the specified Component without using Untrusted Java Web Start applications or Untrusted Java applets, such as through a web service. CVSS 3.1 Base Score 5.4 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS