Oracle publica una alerta de seguridad urgente por una vulnerabilidad crítica en Java SE y GraalVM
Oracle ha publicado una Security Alert fuera de su ciclo habitual para corregir CVE-2026-91403, una vulnerabilidad crítica (CVSS 9.1) en el componente JSSE que permite a un atacante sin autenticar leer y modificar datos a través de la red. Afecta a Oracle Java SE, Oracle GraalVM for JDK y Oracle GraalVM Enterprise Edition.
Qué ha pasado
El 21 de octubre de 2026, Oracle publicó una Security Alert, el mecanismo que reserva para correcciones urgentes fuera de su calendario trimestral de Critical Patch Updates, dedicada a una única vulnerabilidad: CVE-2026-91403. El fallo está en JSSE, el componente de Java que gestiona las comunicaciones seguras (SSL/TLS).
Según el aviso de Oracle, la vulnerabilidad es fácil de explotar, se puede aprovechar en remoto a través de varios protocolos y no requiere credenciales ni interacción del usuario. Si el ataque tiene éxito, el atacante puede acceder a datos críticos o a todos los datos accesibles por la aplicación Java afectada, y también crearlos, borrarlos o modificarlos. No afecta a la disponibilidad. Oracle le asigna una puntuación CVSS 9.1, coincidente con la de NVD.
A quién afecta
El aviso de Oracle enumera las siguientes versiones con soporte afectadas. Oracle advierte, además, de que es probable que las versiones anteriores sin soporte también sean vulnerables, aunque no las ha analizado.
Según Oracle, el fallo puede explotarse mediante las API (application programming interface) del componente JSSE, por ejemplo a través de un servicio web que les pase datos. También afecta a equipos cliente que ejecutan aplicaciones Java Web Start o applets en sandbox (entorno aislado) que cargan código no confiable, como el procedente de internet, y dependen de esa sandbox para su seguridad.
- Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1
- Oracle GraalVM for JDK: 17.0.21 y 21.0.13
- Oracle GraalVM Enterprise Edition: 21.3.20
Estado de la explotación
Por ahora, CVE-2026-91403 no figura en el catálogo KEV de CISA, que recoge las vulnerabilidades con explotación activa confirmada, y el aviso de Oracle no menciona ataques en curso. Aun así, la combinación de gravedad crítica, acceso en remoto sin autenticación y baja complejidad de ataque explica que Oracle haya optado por un parche urgente en lugar de esperar a su siguiente actualización trimestral.
Qué hacer
Oracle ha publicado los parches a través de su programa de Security Alerts. Las instrucciones de instalación y las versiones disponibles se detallan en el documento de disponibilidad de parches de Java SE, enlazado desde el aviso. Recomendamos tratar esta actualización como prioritaria.
- Inventariar todas las instalaciones de Java SE y GraalVM: servidores, aplicaciones que incluyen su propio entorno de ejecución Java y equipos de usuario.
- Aplicar los parches indicados en el documento de disponibilidad de parches de Java SE enlazado desde el aviso de Oracle.
- Dar prioridad a los servicios accesibles desde internet o desde redes no confiables que procesen datos externos, como servicios web y API.
- Migrar a versiones con soporte Premier o Extended las instalaciones que no lo tengan, ya que Oracle solo publica parches para ellas.
- Contactar con los proveedores de software de terceros que incluyan Java en sus productos para conocer sus plazos de actualización.
- Dejar de ejecutar applets o aplicaciones Java Web Start de origen no confiable, o restringirlos al máximo.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-91403 | Crítica (9.1) | — | 21/10/2026 | Recibida |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.