CVE-2026-22018

НизкийОпубликовано

Уязвимость в продуктах Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition из семейства Oracle Java SE (компонент: Libraries)....

Опубликовано: 21 апр. 2026 г.
Обновлено: 22 апр. 2026 г.
Назначение CNA: oracle
Наблюдены доказательства: 4 авг. 2026 г.

Первичный CVSS

3,7/ 10Низкий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

Оценка вероятности EPSS

0,3 %

Низкий · следующие 30 дней

Процентиль: 19,3 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Уязвимость в продуктах Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition из семейства Oracle Java SE (компонент: Libraries). Поддерживаемые версии, которые затронуты: Oracle Java SE: 8u481, 8u481-b50, 8u481-perf, 11.0.30, 17.0.18, 21.0.10, 25.0.2, 26; Oracle GraalVM for JDK: 17.0.18 и 21.0.10; Oracle GraalVM Enterprise Edition: 21.3.17. Сложно эксплуатируемая уязвимость позволяет неаутентифицированному злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Успешные атаки с использованием этой уязвимости могут привести к несанкционированной возможности вызвать частичный отказ в обслуживании (partial DOS) Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Примечание: данная уязвимость может быть использована через API указанного компонента, например, через веб-сервис, который передаёт данные в API. Эта уязвимость также распространяется на развёртывания Java, как правило, в клиентах, запускающих изолированные приложения Java Web Start или изолированные апплеты Java, которые загружают и выполняют недоверенный код (например, код, поступающий из интернета) и полагаются на песочницу Java для обеспечения безопасности. Базовый балл CVSS 3.1 — 3.7 (влияние на доступность). Вектор CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L).

Источники

CVE-2026-22018-Jenkins-Pipeline-Shared-Library-Code-Execution-via-Grab-PoC
PoC для CVE-2026-22018, критической RCE-уязвимости в Jenkins Pipeline Shared Library через Groovy @Grab, демонстрирующий внедрение кода в цепочку поставок и шаги по устранению.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.