[Actualización 26/10/2026] Múltiples vulnerabilidades en Java SE y GraalVM de Oracle

Fecha de publicación 22/10/2026

Identificador

INCIBE-2026-768

Importancia

5 - Crítica

Recursos Afectados

Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1.
Oracle GraalVM for JDK: 17.0.21 y 21.0.13.
Oracle GraalVM Enterprise Edition: 21.3.20.

[Actualización 26/10/2026]

Versiones afectadas por CVE-2026-114820:

Oracle Java SE: 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2 y 27.0.1.0.2.
Oracle GraalVM for JDK: 17.0.21.0.2 y 21.0.13.0.2.
Oracle GraalVM Enterprise Edition: 21.3.20.0.2.

Descripción

Oracle ha publicado una alerta de seguridad para una vulnerabilidad de severidad crítica en el componente JSSE de Java SE y GraalVM, que podría ser explotada a través de la red sin autenticación.

[Actualización 26/10/2026]

Oracle ha publicado una nueva alerta sobre CVE-2026-114820, una vulnerabilidad crítica del componente JSSE relacionada con certificados de eMudhra que podría comprometer la confidencialidad e integridad de los datos.

Solución

Aplicar el parche correspondiente mediante el documento de disponibilidad de parches de Java SE enlazado en la alerta de Oracle y seguir sus instrucciones de instalación.

Oracle recomienda planificar la actualización a una versión con soporte.

[Actualización 26/10/2026]

Aplicar la actualización para CVE-2026-114820 siguiendo el documento de disponibilidad de parches enlazado desde la alerta de Oracle. La actualización elimina los certificados raíz afectados de eMudhra.

Cuando no sea posible instalarla, seguir las mitigaciones oficiales: retirar las raíces indicadas del almacén de confianza, previa copia de seguridad, o configurar la comprobación de revocación según la aplicación. Revisar también los almacenes personalizados y reiniciar los entornos afectados cuando corresponda.

Detalle

CVE-2026-91403: afecta al componente JSSE. La explotación remota sin autenticación podría afectar a la confidencialidad e integridad del sistema. Oracle señala que también puede afectar a despliegues Java que ejecuten código no confiable en aplicaciones sandboxed.

[Actualización 26/10/2026]

CVE-2026-114820: un atacante remoto sin autenticación podría acceder a datos críticos o crearlos, eliminarlos o modificarlos mediante el componente JSSE. La vulnerabilidad puede alcanzarse a través de sus API y afecta también a determinados despliegues que ejecutan código no confiable mediante Java Web Start o applets.

CVE