Kerngegevens
- Leverancier
- Oracle
- Soort software
- basissoftware
- Getroffen versies
- Oracle Java SE 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2
- Oracle GraalVM for JDK 17.0.21.0.2, 21.0.13.0.2
- Oracle GraalVM Enterprise Edition 21.3.20.0.2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Oracle Java SE en GraalVM update uit Security Alert CVE-2026-114820 (zie het Java SE-patchdocument van Oracle)
- CVE gepubliceerd
- 24 oktober 2026
- Gepubliceerd op LekkenRadar
- 24 oktober 2026
- Laatst gewijzigd bij NVD
- 24 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Oracle heeft op 24 oktober 2026 een tweede noodupdate (Security Alert) voor Java uitgebracht, drie dagen na de eerste. De eerste update (CVE-2026-91403) zette de tussencertificaten van certificaatautoriteit eMudhra met zwakke sleutels op een blokkeerlijst. Deze tweede update verwijdert ook de bijbehorende root-certificaten van eMudhra uit Java. Zolang Java die certificaten vertrouwt, kan een aanvaller met valse certificaten verkeer onderscheppen of zich voordoen als een andere website. De ernst is kritiek (9,1).
Wie loopt risico?
Je loopt risico als je Java SE of GraalVM gebruikt, ook als je de eerste noodupdate van 21 oktober al hebt geïnstalleerd: juist die versies (8u511-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, 27.0.1.0.2 en de bijbehorende GraalVM-versies) zijn getroffen. Het gaat vooral om toepassingen die via Java HTTPS-verbindingen maken, zoals webservices en integraties. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Controleer welke Java-versie je gebruikt
Ga na waar je Oracle Java SE of GraalVM draait, ook in applicaties die een eigen Java meeleveren. Heb je de noodupdate van 21 oktober geïnstalleerd, dan moet je opnieuw bijwerken.
Installeer de nieuwe Java-update
Installeer de nieuwste Java-update uit deze tweede Security Alert. Welke build je nodig hebt, staat in het patchdocument van Oracle dat in het advies wordt genoemd: https://www.oracle.com/security-alerts/alert-cve-2026-114820.html
Begin bij systemen met HTTPS-verkeer naar buiten
Werk eerst servers en applicaties bij die via Java verbinding maken met externe diensten, zoals API-koppelingen, betaalproviders of cloudservices.
Zie ook de eerste noodupdate
De eerste Java-noodupdate van 21 oktober staat hier: https://lekkenradar.nl/cve/cve-2026-91403/
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in het onderdeel JSSE van Oracle Java SE, Oracle GraalVM for JDK en Oracle GraalVM Enterprise Edition. Een niet-geauthenticeerde aanvaller met netwerktoegang kan het via meerdere protocollen met lage complexiteit misbruiken, zonder interactie van een gebruiker. De CVSS-vector is CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N: er is een hoge impact op vertrouwelijkheid en integriteit, en geen impact op beschikbaarheid. Misbruik is mogelijk via de API's van het onderdeel, bijvoorbeeld via een webservice die data aan die API's levert. Daarnaast geldt het lek voor Java-omgevingen die onbetrouwbare code draaien en op de sandbox vertrouwen, zoals gesandboxte Java Web Start-applicaties en applets.
CVSS-vector (versie 3.1, basisscore 9,1, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee