Poważne luki w Javie i Node.js. Jedna może prowadzić do zdalnego wykonania kodu

Pierwsza podatność, oznaczona jako CVE-2026-91403, dotyczy komponentu JSSE wykorzystywanego w Javie m.in. do bezpiecznej komunikacji sieciowej.

Oracle ocenił ją na 9,1 punktu w skali CVSS i wydał dla niej osobny alert bezpieczeństwa, co oznacza, że producent uznał problem za zbyt poważny, aby czekać z poprawką do kolejnego standardowego cyklu aktualizacji.

Java - atak przez sieć bez logowania

Według Oracle podatność może zostać wykorzystana zdalnie, bez uwierzytelnienia i bez interakcji użytkownika. Atak może prowadzić do naruszenia poufności oraz integralności danych, w tym ich odczytu, modyfikowania lub usuwania.

Problem obejmuje wybrane wersje Oracle Java SE, Oracle GraalVM for JDK oraz GraalVM Enterprise Edition. Producent wskazuje również, że luka może zostać wykorzystana m.in. wtedy, gdy podatny komponent otrzymuje dane za pośrednictwem usługi sieciowej.

Ważne jest jednak rozróżnienie skutków obu podatności. Oracle nie opisuje CVE-2026-91403 jako luki pozwalającej na zdalne wykonanie kodu. Jej wysoka ocena wynika przede wszystkim z możliwości poważnego naruszenia poufności i integralności danych.

Node.js: możliwe zdalne wykonanie kodu

Druga podatność, CVE-2026-111497, dotyczy dekodera Brotli w Node.js. Błąd typu out-of-bounds write umożliwia zapis danych poza przydzielonym obszarem pamięci.

Twórcy Node.js wskazują, że podatność może prowadzić do zdalnego wykonania kodu. W określonych warunkach atakujący może zatem uzyskać możliwość uruchomienia własnego kodu w środowisku podatnej aplikacji. Problem otrzymał poziom zagrożenia „high” i dotyczy gałęzi Node.js 22.x, 24.x oraz 26.x.

Poprawki znalazły się w wydaniach 22.23.4, 24.22.1 i 26.12.1, które zostały opublikowane 21 października jako aktualizacje bezpieczeństwa.

Wraz z poprawką dotyczącą dekodera Brotli twórcy Node.js usunęli również inne podatności, w tym błędy związane z weryfikacją certyfikatów TLS oraz obsługą DNS.

Aktualizacja nie powinna czekać

Java i Node.js są szeroko wykorzystywane po stronie serwerowej, dlatego możliwość zaatakowania podatnego komponentu przez sieć może mieć poważne konsekwencje. Nie oznacza to jednak, że każda aplikacja wykorzystująca te technologie jest automatycznie podatna na przejęcie.

Znaczenie ma konkretna wersja środowiska, sposób wykorzystania podatnego komponentu oraz to, czy atakujący może dostarczyć do niego odpowiednio przygotowane dane. Administratorzy powinni zweryfikować używane wersje i możliwie szybko wdrożyć dostępne aktualizacje.

Na podstawie oficjalnych komunikatów producentów nie można natomiast stwierdzić, że obie podatności są już aktywnie wykorzystywane przez cyberprzestępców.