Oracle Java SE et GraalVM : vulnérabilité du compilateur (CVE-2026-91487)

Veille sécuritéBackend & données

P4Moyenne

Une vulnérabilité du compilateur d’Oracle Java SE peut permettre à un attaquant distant non authentifié d’altérer ou de lire une partie des données accessibles en fournissant des données aux API du composant. Les versions affectées sont celles énumérées dans la fiche; aucun correctif n’est précisé dans les données fournies.

IdentifiantCVE-2026-91487

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-91487

Analyse technique

Exploitation difficile, à distance, sans privilèges et sans interaction utilisateur. La fiche indique une exploitation par fourniture de données aux API du composant, par exemple via un service web, et précise que les applets ou applications Java Web Start non fiables ne sont pas nécessaires.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication à 2026-10-20T22:20:53.160Z, soit le 2026-10-21 à 00:20:53.160 +02:00, dans la période demandée. L’horodatage de mise à jour NVD est administratif et ne constitue pas à lui seul un nouvel événement.

ImpactLecture et altération non autorisées d’une partie des données accessibles à Oracle Java SE.

Versions affectéesOracle Java SE : 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27; Oracle GraalVM for JDK : 17.0.20.1, 21.0.12.1; Oracle GraalVM Enterprise Edition : 21.3.19.1.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

EPSS0,18% · percentile 6,9%

Publication2026-10-20T22:20:53.160Z

Mise à jour2026-10-21T18:44:55.490Z

Action recommandée

Examiner les applications qui exposent les API du compilateur à des données non fiables et appliquer les correctifs Oracle lorsqu’ils sont disponibles.

Sources

NVD — CVE-2026-91487

Priorisation DFS : P4 · 1 source(s).