Oracle heeft een reeks zwakke plekken gedicht in Java. Het gaat om updates voor Java SE, JavaFX en GraalVM Enterprise. Kwaadwillenden kunnen sommige lekken vanaf het internet misbruiken, vaak zonder inloggegevens. Andere problemen spelen juist in sandbox-omgevingen waarin onbetrouwbare Java‑code wordt uitgevoerd. De fixes maken deel uit van de Critical Patch Update (CPU) die op 20 oktober 2026 verscheen. (oracle.com)

De CPU raakt meerdere onderdelen van Java. Denk aan de compiler, networking, JAXP en JDBC, maar ook RMI, ImageIO, de Lightweight HTTP Server, JAAS/JGSS en zelfs CORBA voor oudere streams. Een deel daarvan is op afstand te exploiteren; bij sommige issues is gebruikersinteractie nodig (bijvoorbeeld via JavaFX), of is lokale toegang vereist. De gemelde CVSS‑scores in de CPU lopen op tot 6,5. (oracle.com)

Belangrijk om te weten: een dag later volgde een aparte Security Alert voor CVE‑2026‑91403 in de JSSE‑component. Die kreeg een CVSS‑score van 9,1 en is op afstand te misbruiken zonder authenticatie. De alert adviseert direct te updaten, omdat de patch onder meer een set probleem­certificaten (eMudhra) wantrouwt. (blogs.oracle.com)

Welke versies moet je hebben? De oktober‑CPU levert onder andere updates voor Java 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1 en 27. Voor de JSSE‑security‑alert van 21 oktober zijn nieuwere builds beschikbaar: 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 en 27.0.1 (en overeenkomstige GraalVM‑releases). Heb je op 20 oktober al gepatcht? Dan is alsnog die extra update nodig. (oracle.com)

Waarom dit ertoe doet:

• Misbruik kan leiden tot denial‑of‑service of ongeautoriseerde toegang tot data. Zeker bij componenten die netwerkverkeer of certificaten verwerken (JSSE, networking, Lightweight HTTP Server) is het risico reëel. (oracle.com)
• Java‑omgevingen die sandboxed code draaien (zoals oude Web Start‑scenario’s of embedded app‑achtige clients) zijn expliciet genoemd als aanvalspad. (oracle.com)

Oracle versnelt intussen de beveiligingscadans. Naast de vaste kwartaal‑CPU’s werkt het bedrijf toe naar maandelijkse security‑updates. Voor 2026 is onder meer een update op 17 november aangekondigd; organisaties wordt aangeraden hun patchproces hierop in te richten. (blogs.oracle.com)

Wat kun je nu het beste doen?

• Inventariseer waar Java draait (ook mee­gepakte JRE/JDK’s in applicaties) en breng alle omgevingen naar de CPU‑stand van 20 oktober of hoger, en daarna naar de JSSE‑alert‑stand van 21 oktober. (oracle.com)
• Patch ook GraalVM‑distributies die je in builds of microservices gebruikt. (oracle.com)
• Minimaliseer aanvalsoppervlak: schakel ongebruikte protocollen en services (bijv. RMI, embedded HTTP) uit en beperk blootstelling naar internet. (oracle.com)
• Automatiseer updates en test vroegtijdig; maandelijkse fixes worden het nieuwe normaal. (blogs.oracle.com)

Tot slot: draai je nog oude streams of client‑apps met JavaFX of legacy‑CORBA? Plan versneld een upgrade. Verschillende issues treffen vooral deze oudere componenten, terwijl moderne versies beter worden bijgehouden en sneller gepatcht. (oracle.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.