JSSE-Sicherheitslücke in Oracle Java SE und GraalVM ermöglicht es nicht authentifizierten Angreifern, Daten zu lesen und zu verändern (CVE-2026-114820)

Was passiert ist

Oracle beschreibt CVE-2026-114820 als leicht ausnutzbare Sicherheitslücke in der JSSE-Komponente von Oracle Java SE und GraalVM. Ein nicht authentifizierter Angreifer kann sie über das Netzwerk mithilfe mehrerer Protokolle erreichen, ohne dass eine Benutzerinteraktion erforderlich ist. Ein erfolgreicher Angriff ermöglicht es dem Angreifer, kritische Daten zu lesen oder vollständigen Zugriff auf alle Daten zu erlangen, auf die die betroffene Java-Laufzeit zugreifen kann, und diese Daten zu erstellen, zu löschen oder zu verändern. Der CVSS-3.1-Wert liegt bei 9,1 (Kritisch); die Auswirkungen auf Vertraulichkeit und Integrität sind hoch, auf die Verfügbarkeit bestehen keine Auswirkungen.

Die Sicherheitslücke kann über APIs in der JSSE-Komponente ausgenutzt werden, beispielsweise über einen Webdienst, der Daten an diese APIs liefert. Oracle weist außerdem darauf hin, dass sie Java-Bereitstellungen betrifft, die nicht vertrauenswürdigen Code in Java-Web-Start-Anwendungen oder Java-Applets laden und ausführen, die in einer Sandbox ausgeführt werden. Der CVE-Eintrag enthält keine Hinweise auf eine Ausnutzung in freier Wildbahn oder eine öffentliche Offenlegung, und der KEV-Katalog der CISA führt diese CVE nicht auf.

Wer betroffen ist

Oracle führt die folgenden Builds als betroffen auf:

• Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2
• Oracle GraalVM for JDK: 17.0.21.0.2 und 21.0.13.0.2
• Oracle GraalVM Enterprise Edition: 21.3.20.0.2

Java ist auf Servern, in Middleware, auf Desktop-Clients und in eingebetteten Laufzeiten weit verbreitet; die wichtigste Aufgabe besteht daher darin, jede Installation dieser Builds zu finden. Die Gefährdung ist besonders relevant, wenn Java-Anwendungen über das Netzwerk erreichbar sind oder nicht vertrauenswürdiger Code in eine Sandbox geladen wird.

Was jetzt zu tun ist

1. Spielen Sie den Fix von Oracle ein. Oracle hat den Security Alert CVE-2026-114820 veröffentlicht und gibt an, dass Fixes verfügbar sind. Der CVE-Eintrag führt die korrigierten Build-Nummern nicht einzeln auf; bestätigen Sie daher das korrigierte Release für Ihre Java-Version im Security Alert von Oracle.
2. Im Security Alert von Oracle ist kein Workaround dokumentiert. Behandeln Sie das Einspielen der Sicherheitsupdates als primäre Sicherheitsmaßnahme.
3. Falls ein sofortiges Einspielen der Sicherheitsupdates nicht möglich ist, priorisieren Sie die Bestandsaufnahme betroffener Java-Builds und schränken Sie den Netzwerkzugriff auf Dienste ein, die JSSE-APIs verwenden, insbesondere bei aus dem Internet erreichbaren Diensten.
4. Überprüfen Sie nachgelagerte Produkte von Drittanbietern, die Oracle Java oder GraalVM enthalten; sie benötigen möglicherweise eigene Updates.

Wie man es erkennt

Oracle hat für diese CVE keine spezifischen Indikatoren für eine Kompromittierung veröffentlicht. Prüfen Sie während des Einspielens der Sicherheitsupdates die Protokolle auf unerwartete Zugriffe auf Java-Dienste, die JSSE verwenden, und auf Veränderungen an sensiblen Daten, die von diesen Diensten verarbeitet werden. Vom Hersteller bereitgestellte Erkennungssignaturen, auf die Sie sich stützen könnten, gibt es jedoch nicht.

Über den Patch hinaus

Sicherheitslücken in Java mit Netzwerkzugriff und hohen Auswirkungen auf die Integrität sind selten auf eine einzelne Anwendung beschränkt. Dieselbe Laufzeit ist häufig in Produkten von Anbietern und in internen Diensten eingebettet. Die eigentliche Arbeit besteht daher darin, zu wissen, wo diese Builds ausgeführt werden und welche ohne Zugangsdaten erreichbar sind. Mit Virtual CISO Services unterstützen wir Sie dabei, exponierte Java-Dienste zu erfassen und diese Angriffsfläche zu verkleinern. Mit Lieferkettenschutz & Drittanbieterrisiken unterstützen wir Sie dabei, nachzuverfolgen, welche Lieferanten weiterhin betroffene Laufzeiten einsetzen und wie deren Patchzyklen Ihr Expositionsfenster bestimmen.