Kerngegevens
- Leverancier
- Oracle
- Soort software
- basissoftware
- Getroffen versies
- Oracle Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1
- Oracle GraalVM for JDK 17.0.21, 21.0.13
- Oracle GraalVM Enterprise Edition 21.3.20
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Oracle Java SE en GraalVM patch uit Security Alert CVE-2026-91403 (zie het Java SE-patchdocument van Oracle)
- CVE gepubliceerd
- 21 oktober 2026
- Gepubliceerd op LekkenRadar
- 22 oktober 2026
- Laatst gewijzigd bij NVD
- 22 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Oracle heeft op 21 oktober 2026 buiten de vaste patchronde om een noodupdate (Security Alert) uitgebracht voor een kritiek lek in JSSE, het onderdeel van Java dat TLS-verbindingen verzorgt. Een aanvaller zonder inloggegevens kan via het netwerk gegevens lezen of aanpassen. Volgens berichtgeving gaat het om certificaten van tussenliggende certificaatautoriteiten van eMudhra met zwakke sleutels, die Java vertrouwde. Daarmee kan iemand certificaten maken die Java accepteert en zo verkeer onderscheppen of zich voordoen als een andere website.
Wie loopt risico?
Je loopt risico als je een van de genoemde versies van Oracle Java SE, GraalVM for JDK of GraalVM Enterprise Edition gebruikt. Dat geldt vooral voor servers waar bijvoorbeeld een webdienst gegevens aanlevert aan de getroffen onderdelen. Ook clients die in de Java-sandbox onbetrouwbare code van internet draaien, zoals sandboxed Java Web Start-applicaties of applets, lopen risico.
Wat moet je doen?
Ga na welke Java-versies je gebruikt
Controleer op servers, werkplekken en in applicaties welke versie van Oracle Java SE of GraalVM wordt gebruikt. Getroffen zijn Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 en 27.0.1, GraalVM for JDK 17.0.21 en 21.0.13, en GraalVM Enterprise Edition 21.3.20. Dit zijn de versies uit de patchronde van oktober: ook wie die net heeft geïnstalleerd, moet opnieuw bijwerken.
Installeer de noodupdate
Installeer de gepatchte versie uit de Security Alert. Welke build je nodig hebt, staat in het Java SE-patchdocument dat Oracle bij het advies noemt: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
Vergeet meegeleverde Java niet
Controleer ook applicaties die een eigen Java-versie meeleveren en werk die bij zodra de leverancier een update heeft.
Beperk de blootstelling
Zorg dat diensten die met de getroffen Java-versies werken niet onnodig vanaf internet bereikbaar zijn, totdat je bent bijgewerkt.
Eerdere Oracle-lekken van oktober
In de patchronde van 20 oktober loste Oracle ook een ander Java-lek op (CVE-2026-91484, https://lekkenradar.nl/cve/cve-2026-91484/) en een kritiek lek in WebLogic Server (CVE-2026-83399, https://lekkenradar.nl/cve/cve-2026-83399/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het onderdeel JSSE (Java Secure Socket Extension) van Oracle Java SE, Oracle GraalVM for JDK en Oracle GraalVM Enterprise Edition. De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, met een score van 9,1. Een aanvaller hoeft dus niet in te loggen, heeft geen gebruikersinteractie nodig en kan het lek via het netwerk met meerdere protocollen uitbuiten. De gevolgen zijn een volledig verlies van vertrouwelijkheid en integriteit van de gegevens die de getroffen software kan bereiken; beschikbaarheid wordt niet geraakt. Misbruik kan via API's van het onderdeel gebeuren, bijvoorbeeld via een webdienst die gegevens aanlevert. Ook Java-omgevingen die onbetrouwbare code in de sandbox draaien, zoals sandboxed Java Web Start-applicaties of applets, zijn kwetsbaar. Een CWE-classificatie is in de gegevens niet vermeld.
CVSS-vector (versie 3.1, basisscore 9,1, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Nee