‹ Volver al listado

CVE-2026-91484

Estado: Pendiente de análisisAlta (7.5)—
Gravedad7.5Alta · CVSS 3.1
Probabilidad de explotación0.12 %mayor que el 2 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Vulnerabilidad en Oracle Java SE (componente: Java plugin). Las versiones compatibles afectadas de Oracle Java SE son: 8u503 y 8u503-perf. Una vulnerabilidad difícil de explotar permite a un atacante con privilegios bajos y acceso de inicio de sesión a la infraestructura donde se ejecuta Oracle Java SE comprometer Oracle Java SE. Aunque la vulnerabilidad está en Oracle Java SE, los ataques pueden afectar significativamente a productos adicionales (cambio de ámbito).

Leer descripción completaMostrar menos

Los ataques exitosos contra esta vulnerabilidad pueden dar lugar a la creación, eliminación o modificación no autorizadas de datos críticos o de todos los datos accesibles de Oracle Java SE, así como a acceso no autorizado a datos críticos o a acceso completo a todos los datos accesibles de Oracle Java SE. Nota: Esta vulnerabilidad afecta a los despliegues de Java, normalmente en clientes que ejecutan aplicaciones de Java Web Start en sandbox o applets de Java en sandbox, que cargan y ejecutan código no fiable (por ejemplo, código procedente de internet) y que confían en el sandbox de Java para su seguridad. Esta vulnerabilidad no afecta a los despliegues de Java, normalmente en servidores, que cargan y ejecutan únicamente código fiable (por ejemplo, código instalado por un administrador). Puntuación base CVSS 3.1 de 7,5 (impactos en la confidencialidad y en la integridad). Vector CVSS: (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N).

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
7.5
Versión
3.1
Vector
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.12 %
Percentil entre todas las CVEs puntuadas
2
Fecha de la puntuación
21/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:L/PR:L/UI:N indica acceso local sin interacción (T1068). El texto menciona acceso no autorizado a datos críticos y su modificación o borrado (C:H/I:H), sin ejecución de comandos.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Threat Intelligence ProgramRestrict File and Directory PermissionsRemote Data StorageNetwork SegmentationExecution PreventionEncrypt Sensitive Information

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Oracle — Java SEAI

Referencias

Mostrar las 1 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-91484",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "secalert_us@oracle.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "LOCAL",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.8,
        "exploitabilityScore": 1.1
      }
    ]
  },
  "affected": [
    {
      "source": "secalert_us@oracle.com",
      "affectedData": [
        {
          "vendor": "Oracle Corporation",
          "product": "Oracle Java SE",
          "versions": [
            {
              "status": "affected",
              "version": "8u503"
            },
            {
              "status": "affected",
              "version": "8u503-perf"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T22:20:52.800",
  "references": [
    {
      "url": "https://www.oracle.com/security-alerts/cpuoct2026.html",
      "source": "secalert_us@oracle.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "descriptions": [
    {
      "lang": "en",
      "value": "Vulnerability in Oracle Java SE (component: Java plugin).  Supported versions that are affected are Oracle Java SE: 8u503 and  8u503-perf. Difficult to exploit vulnerability allows low privileged attacker with logon to the infrastructure where Oracle Java SE executes to compromise Oracle Java SE.  While the vulnerability is in Oracle Java SE, attacks may significantly impact additional products (scope change).  Successful attacks of this vulnerability can result in  unauthorized creation, deletion or modification access to critical data or all Oracle Java SE accessible data as well as  unauthorized access to critical data or complete access to all Oracle Java SE accessible data. Note: This vulnerability applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. This vulnerability does not apply to Java deployments, typically in servers, that load and run only trusted code (e.g., code installed by an administrator). CVSS 3.1 Base Score 7.5 (Confidentiality and Integrity impacts).  CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)."
    }
  ],
  "lastModified": "2026-10-21T18:44:55.490",
  "sourceIdentifier": "secalert_us@oracle.com"
}