CVE-2026-84725：Openjdk-orb 未完整修復 cve-2026-15560，EAP 允許未授權類別載入
CVE-2026-84725 - Openjdk-orb: incomplete fix for cve-2026-15560,unauthed class loading via iiop in eap
核心導語: CVE-2026-84725 使 Openjdk‑orb 在 EAP 執行 -secmgr 時，未授權攻擊者可載入並例項化遠端 URL 的任意類別，進而在 EJB 安全攔截前注入惡意程式碼。
此漏洞允許未授權載入遠端類別，對使用 EAP 的企業系統構成重大風險，讀者可評估是否即時更新或限制遠端程式碼載入。
當 EAP 以 -secmgr 執行時，openjdk-orb 的 JDKBridge 在 :3528 進行物件反序列化時會尊重攻擊者提供的 CDR codebase URL，允許未經身份驗證的攻擊者在 EJB 安全攔截器執行前，從遠端 URL 載入並例項化任意類別到伺服器 JVM。
影響
受影響產品
以下產品受到 CVE-2026-84725 漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，該資訊在下表中未顯示。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Redhat | jboss_enterprise_application_platform |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞嚴重度。 我們從各來源收集並顯示每個 CVE 的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | 53f830b8-0a3f-465b-8143-3b8a9948e749 |
預設停用遠端 codebase 載入，以防止任意類別例項化。
- 設定 ORB 禁止遠端 codebase 載入。
- 請勿在 openjdk-orb 使用 -secmgr 選項。
- 審查並限制 codebase URL 來源。
- 為受影響的 JDK 版本套用安全修補程式。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表為已發布於 GitHub 的公開攻擊與概念驗證集合，按最近更新排序。
由於潛在效能問題，結果僅限前 15 個倉庫。
以下列表為文章中提及 CVE-2026-84725 漏洞的新聞。
EPSS 是對未來 30 天內觀測到利用活動機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。