CVE-2026-91403: Grave Vulnerabilità in Oracle Java SE e GraalVM Consente Attacchi Remoti

Oracle ha emesso un avviso di sicurezza fuori ciclo per affrontare CVE-2026-91403, una vulnerabilità critica che interessa Oracle Java SE, Oracle GraalVM per JDK e Oracle GraalVM Enterprise Edition. Il problema di sicurezza risiede nel componente Java Secure Socket Extension (JSSE) e ha un punteggio CVSS v3.1 di 9.1.

La vulnerabilità è sfruttabile da remoto senza autenticazione. Secondo Oracle, un attaccante con accesso alla rete attraverso più protocolli può compromettere gli ambienti Java vulnerabili senza fornire credenziali o richiedere interazione da parte dell’utente. Lo sfruttamento riuscito può esporre dati critici e consentire modifiche, creazioni o eliminazioni non autorizzate di informazioni accessibili all’ambiente Java compromesso.

Rapid7 classifica il difetto come critico e conferma il vettore CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Questo significa che lo sfruttamento può avvenire attraverso la rete con bassa complessità di attacco, non richiede privilegi o interazione con la vittima, e può avere un impatto elevato su riservatezza e integrità.

La vasta diffusione di Java nei servizi web aziendali, nelle applicazioni backend, middleware, API e infrastrutture critiche per il business aumenta l’esposizione potenziale. Le organizzazioni dovrebbero quindi identificare i runtime Java e GraalVM interessati e dare priorità alle patch dell’avviso di sicurezza di Oracle.

I team di sicurezza in cerca di opportunità di rilevamento per CVE-2026-91403 dovrebbero monitorare i servizi Java per interazioni di rete anomale, fallimenti inaspettati correlati a certificati o TLS, processi figli sospetti e accesso insolito a dati applicativi sensibili.

La Piattaforma di Rilevamento Intelligente AI-Nativa di SOC Prime può aiutare i team di sicurezza a rafforzare le loro difese contro lo sfruttamento di vulnerabilità emergenti con contenuti di rilevamento mappati a MITRE ATT&CK® e disponibili su diversi ambienti SIEM, EDR e Data Lake.

Clicca Esplora Rilevamenti per accedere ai contenuti SOC rilevanti e alla logica di caccia. Per rilevare CVE-2026-91403 e il comportamento post-sfruttamento associato, i difensori dovrebbero combinare la telemetria delle applicazioni Java, il monitoraggio della rete, la visibilità degli endpoint e i log a livello di servizio.

I team di sicurezza possono anche sfruttare Prime Architect per trasformare l’intelligence delle vulnerabilità emergenti in regole Sigma, generare query di caccia, convalidare la logica di rilevamento e tradurre i rilevamenti su piattaforme di sicurezza supportate.

Analisi di CVE-2026-91403

CVE-2026-91403 impatta il componente JSSE utilizzato dalle applicazioni Java per fornire capacità di comunicazione sicura. Oracle descrive il difetto come facilmente sfruttabile e conferma che gli attacchi possono originarsi remotamente attraverso più protocolli senza autenticazione.

Il fornitore non ha divulgato pubblicamente l’errore di programmazione sottostante o la sequenza completa di sfruttamento. La politica di divulgazione delle vulnerabilità di Oracle limita intenzionalmente i dettagli tecnici che potrebbero facilitare la creazione di armi mentre i clienti dispiegano le patch. Pertanto, affermazioni su un pacchetto malformato specifico, struttura del certificato, argomento API o primitivo di sfruttamento non dovrebbero essere trattate come confermate, a meno che Oracle non pubblichi ulteriori informazioni tecniche.

CVE-2026-91403 interessa i seguenti rilasci supportati da Oracle:

• Oracle Java SE 8u511 e 8u511-perf
• Oracle Java SE 11.0.33
• Oracle Java SE 17.0.21
• Oracle Java SE 21.0.13
• Oracle Java SE 25.0.5
• Oracle Java SE 27.0.1
• Oracle GraalVM per JDK 17.0.21
• Oracle GraalVM per JDK 21.0.13
• Oracle GraalVM Enterprise Edition 21.3.20

Oracle avverte anche che i rilasci precedenti non supportati non sono stati testati ma sono probabilmente contenuti nelle vulnerabilità affrontate dall’avviso di sicurezza. Pertanto, le organizzazioni che operano ancora con rami Java non supportati non dovrebbero presumere di non essere influenzate.

La superficie di attacco è più ampia delle applicazioni standalone desktop Java. Oracle nota specificamente che lo sfruttamento può avvenire tramite API esposte dal componente vulnerabile, incluse situazioni in cui un servizio web trasmette dati controllati da attaccanti a tali API.

Il fornitore afferma anche che il problema si applica alle distribuzioni Java che eseguono codice non fidato facendo affidamento sul sandbox di Java per la protezione, inclusi Java Web Start applicazioni e applet Java in modalità sandbox.

I dettagli per CVE-2026-91403 mostrano conseguenze particolarmente gravi sulla riservatezza e l’integrità. Oracle valuta entrambi gli impatti come Elevati mentre assegna nessun impatto diretto sulla disponibilità. Un attaccante di successo potrebbe potenzialmente ottenere accesso non autorizzato a dati applicativi critici o modificare, creare ed eliminare informazioni disponibili per l’ambiente Java compromesso.

Questa distinzione è importante per la risposta agli incidenti. Le organizzazioni non dovrebbero concentrarsi esclusivamente sull’interruzione dei servizi. Un server vulnerabile può continuare a funzionare normalmente mentre vengono accedute informazioni sensibili o vengono modificati dati applicativi.

Al momento della pubblicazione, né Rapid7 né Oracle forniscono una prova di concetto pubblica (PoC) o istruzioni tecniche di sfruttamento sufficienti per riprodurre indipendentemente la vulnerabilità per CVE-2026-91403. Rapid7 elenca inoltre il problema come assente dal catalogo CISA delle vulnerabilità note sfruttate al 22 ottobre 2026.

Allo stesso modo, non sono stati pubblicati negli indicatori di compromesso (IOC) specifici della campagna per CVE-2026-91403, come indirizzi IP malevoli, domini, hash o firme di payload nelle fonti primarie. Questo limita l’efficacia del monitoraggio basato sugli indicatori puro e rende più importante la visibilità comportamentale.

I team di sicurezza dovrebbero monitorare i servizi rivolti a Java per:

• Richieste di rete inaspettate verso applicazioni Java o servizi web
• Errori anomali correlati a TLS o JSSE
• Cambiamenti ai dati delle applicazioni senza attività legittima corrispondente
• Anomalie di autenticazione o autorizzazione inaspettate
• Processi Java che iniziano connessioni in uscita insolite
• Processi figli non riconosciuti avviati da applicazioni Java
• Modifiche ai file, alla configurazione o alle risorse applicative
• Richieste API sospette immediatamente precedenti a accesso anomalo ai dati

Poiché le meccaniche complete di sfruttamento rimangono non divulgate, questi comportamenti non possono dimostrare lo sfruttamento da soli. Dovrebbero invece servire come punti di pivot per l’indagine quando combinate con l’esposizione alla vulnerabilità e la telemetria specifica dell’applicazione.

Mitigazione di CVE-2026-91403

Oracle ha rilasciato un avviso di sicurezza dedicato il 21 ottobre 2026 invece di aspettare per un ciclo di sicurezza programmato successivo. Gli amministratori dovrebbero applicare le patch menzionate nella documentazione sulla disponibilità delle patch di Oracle il più rapidamente possibile in termini operativi.

Le organizzazioni dovrebbero prima inventariare tutte le installazioni di Java, inclusi i runtime integrati con software commerciali, prodotti middleware, server applicativi, container, ambienti di sviluppo e dispositivi di terze parti. I componenti Java incorporati all’interno di un altro prodotto vengono spesso trascurati durante la gestione delle vulnerabilità perché gli amministratori potrebbero non rendersi conto che esiste un JDK o JRE separato all’interno della directory dell’applicazione.

La priorità dovrebbe essere data ai sistemi che:

• Accettano connessioni di rete da fonti non fidate
• Espongono servizi web o API supportate da Java
• Elaborano input controllati da attaccanti
• Gestiscono dati aziendali o dei clienti sensibili
• Eseguono rilasci di Java non supportati
• Utilizzano Java Web Start o altri modelli di distribuzione dipendenti dal sandbox

Oracle fornisce patch di avviso di sicurezza solo per le versioni coperte dal supporto Premier o Extended. Le versioni precedenti non sono necessariamente sicure semplicemente perché non sono presenti nella tabella delle versioni interessate. Oracle raccomanda esplicitamente di spostare le distribuzioni non supportate su versioni supportate perché i rilasci precedenti potrebbero contenere anche la vulnerabilità.

Se non è possibile effettuare la patch immediata, le organizzazioni dovrebbero ridurre l’esposizione restringendo l’accesso alla rete ai servizi interessati, limitando la comunicazione a sistemi di fiducia e applicando controlli di accesso a livello di applicazione quando possibile. Questi passaggi dovrebbero essere trattati come misure temporanee di riduzione del rischio anziché come sostituti per l’aggiornamento del venditore.

I team di sicurezza dovrebbero anche rivedere i log di applicazioni e reti retrospettivamente. Cercare accesso inatteso a dati sensibili, modifiche sospette, attività di rete Java anomale e richieste API insolite che non possono essere spiegate da operazioni aziendali legittime.

Se viene identificato un comportamento sospetto, i soccorritori dovrebbero:

• Isolare l’host interessato quando possibile operativamente.
• Preservare i log delle applicazioni Java, del server web, degli endpoint e delle reti.
• Rivedere l’integrità dei dati applicativi sensibili.
• Identificare le credenziali, i segreti e i token accessibili al processo Java.
• Ruotare le credenziali potenzialmente esposte.
• Cercare cambiamenti non autorizzati ai file e alla configurazione delle applicazioni.
• Esaminare le connessioni in uscita per segni di attività seguenti.
• Convalidare altri sistemi Java con la stessa configurazione applicativa.

Poiché la riservatezza e l’integrità sono gli impatti principali identificati da Oracle, la risposta agli incidenti dovrebbe includere revisioni di accesso e modifica dei dati anche quando non ci sono prove di inattività.

Le organizzazioni che utilizzano la Piattaforma di Rilevamento Intelligente AI-Nativa di SOC Prime possono rafforzare il monitoraggio comportamentale attorno ai servizi Java vulnerabili mentre le patch vengono distribuite e continuare a cercare attività post-compromissione nel loro stack di sicurezza.

Disclaimer: Il contenuto di rilevamento potrebbe non essere disponibile per ogni CVE. Controllare la Piattaforma SOC Prime per la copertura corrente. Se i rilevamenti rilevanti non sono ancora disponibili, controllare nuovamente poiché nuove informazioni sulle minacce e contenuti di rilevamento vengono continuamente aggiunti.