JSSE-Sicherheitslücke in Oracle Java SE und GraalVM ermöglicht nicht authentifizierten Angreifern, Daten zu lesen und zu verändern (CVE-2026-91403)

Was passiert ist

Die Schwachstelle liegt in der JSSE-Komponente von Oracle Java SE und GraalVM. Laut dem CVSS-Vektor kann ein nicht authentifizierter Angreifer sie über ein Netzwerk mit geringer Komplexität ausnutzen; dafür sind keine Berechtigungen und keine Benutzerinteraktion erforderlich. Erfolgreiche Angriffe können kritische Daten erstellen, löschen oder verändern und unbefugten Lesezugriff auf kritische oder vollständige Daten ermöglichen. Die Verfügbarkeit ist nicht betroffen. Die Schwachstelle kann über APIs in JSSE ausgelöst werden, etwa über einen Webdienst, der Daten an diese APIs liefert.

Oracle stuft das Problem als „Critical“ mit einem CVSS-3.1-Basiswert von 9,1 ein. Der CVE-Eintrag enthält weder Angaben zu einer Ausnutzung in freier Wildbahn noch zu einer öffentlichen Offenlegung.

Wer betroffen ist

Oracle führt genau diese Builds als betroffen auf:

• Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1
• Oracle GraalVM for JDK: 17.0.21, 21.0.13
• Oracle GraalVM Enterprise Edition: 21.3.20

Die Schwachstelle betrifft außerdem Java-Bereitstellungen, die nicht vertrauenswürdigen Code laden und ausführen, etwa in einer Sandbox ausgeführte Java-Web-Start-Anwendungen oder Applets, und sie kann über einen Webdienst erreicht werden, der Daten an JSSE-APIs liefert.

Was jetzt zu tun ist

1. Prüfen Sie, welche der aufgeführten Builds von Oracle Java SE, GraalVM for JDK und GraalVM Enterprise Edition Sie einsetzen – einschließlich aller Builds, die in Produkten von Zulieferern oder in Anwendungsservern eingebettet sind.
2. Spielen Sie die Korrektur von Oracle für diesen Sicherheitshinweis ein. Auf dieser Seite werden keine konkreten Nummern korrigierter Versionen genannt; nutzen Sie den Oracle Security Alert Advisory CVE-2026-91403 unter https://www.oracle.com/security-alerts/alert-cve-2026-91403.html, um die korrigierten Builds für Ihre Umgebung zu ermitteln.
3. Wenn das Einspielen der Sicherheitsupdates nicht sofort möglich ist, schränken Sie den Netzwerkzugriff auf Java-Dienste oder Webdienst-Endpunkte, die JSSE verwenden, bis zum Einspielen des Updates ein.
4. Prüfen Sie den Sicherheitshinweis erneut auf Code-Pfade für in einer Sandbox ausgeführte Java-Web-Start-Anwendungen oder Java-Applets, da diese Bereitstellungen ebenfalls betroffen sind.

Über den Patch hinaus

Da diese Schwachstelle ohne Zugangsdaten über das Netzwerk erreichbar ist, stellt ein aus dem Internet erreichbarer Java-Dienst bereits vor jedem Ausnutzungsversuch eine messbare Angriffsfläche dar. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, diese Angriffsfläche zu identifizieren und zu priorisieren. Java-Laufzeitumgebungen gelangen außerdem über Produkte von Zulieferern in Ihre Umgebung, und deren Patch-Zyklus bestimmt oft, wie lange Ihre Systeme diesen Risiken ausgesetzt sind; Lieferkettenschutz & Drittparteirisiko hilft zu verfolgen, auf welche Java-Komponenten Sie angewiesen sind und wie schnell Zulieferer sie korrigieren.