Milhares de aplicações Java estão vulneráveis devido a exploit detectado há 9 meses

A popular biblioteca Java possui uma vulnerabilidade grave, descoberta há mais de nove meses, mas que continua a colocar milhares de aplicações e servidores Java↳Java42 conteúdosNovidades do Java 26 (para desenvolvedores)Dev (Back & Front) · mar 2026Visual Studio Code para Java: o guia completo (dicas, configuração e extensões)Dev (Back & Front) · out 2025Quarkus: Modernizando a linguagem Java para a era da nuvemDev (Back & Front) · nov 2020Ver tudo em Dev (Back & Front) → sob risco de ataques de execução remota.

A falha está localizada no Apache Commons, uma biblioteca que contém conjuntos de componentes Java amplamente usados, que são mantidos pela Apache Software Foundation. A biblioteca é usada por padrão em vários servidores de aplicação Java e outros produtos, incluindo Oracle↳Oracle22 conteúdosOracle lança Java 26 para aumentar produtividade de desenvolvedoresDev (Back & Front) · mar 2026Oracle oferece o primeiro cluster de computação em nuvem em escala ZettaDevSecOps · jan 2025Oracle abre inscrições para o ONE, programa gratuito de formação em tecnologia e inteligência artificialData · dez 2024Ver tudo em Data → WebLogic, IBM WebSphere, JBoss, Jenkins e OpenNMS. Mais especificamente, o problema encontra-se no componente Collections e decorre da “des-serialização” insegura de objetos Java. Em linguagens de programação, a serialização é o processo de conversão de dados para um formato binário, visando a armazená-los em um arquivo ou memória, ou enviá-los por meio de redes.

• Firefox vai bloquear Java, Silverlight e outros plugins NPAPI em 2016
• Java para Androideiros

A vulnerabilidade foi revelada pela primeira vez em uma conferência de segurança que aconteceu em janeiro, realizada pelos pesquisadores Chris Frohoff e Gabriel Lawrence, mas ela não recebeu muita atenção, provavelmente porque muitas pessoas acreditam que a responsabilidade de evitar ataques de “des-serialização” é dos programadores de aplicações Java, e não dos criadores da biblioteca.

No entanto, a falha teve uma nova onda de exposição na última sexta-feira, depois que a empresa FoxGlove Security revelou exploits de prova de conceito baseados em WebLogic, WebSphere, JBoss, Jenkins e OpenNMS.

Em resposta, a Oracle emitiu um alerta de segurança na terça-feira, que continha instruções para uma solução temporária no WebLogic Server. A empresa está trabalhando em uma correção permanente, e desenvolvedores da Apache Commons Collections também estão trabalhando para corrigir o problema.

Com informações de PC World