Nova vulnerabilidade encontrada no Java afeta 1 bilhão de usuários

Uma nova vulnerabilidade foi encontrada no Java↳Java42 conteúdosNovidades do Java 26 (para desenvolvedores)Dev (Back & Front) · mar 2026Visual Studio Code para Java: o guia completo (dicas, configuração e extensões)Dev (Back & Front) · out 2025Quarkus: Modernizando a linguagem Java para a era da nuvemDev (Back & Front) · nov 2020Ver tudo em Dev (Back & Front) →. Mas, diferente da falha relatada no mês passado, a nova parece ser um pouco mais séria. Segundo a empresa que a descobriu, chamada Security Explorations, a falha afeta todos os navegadores atuais com o plugin do Java nas versões 5, 6 e 7. Eles afirmam que todos os 1 bilhão de usuários do plugin estão vulneráveis.

Especificamente, a empresa cita que as versões Java SE 5 Update 22, Java SE 6 Update 35 e Java SE 7 Update 7 (que são as mais recentes) contém a vulnerabilidade. A falha permite driblar uma restrição de segurança da máquina virtual de Java, a conhecida sandbox, o que abre a possibilidade de execução de códigos maliciosos no computador.

Os testes foram executados com o Windows 7 de 32 bits e nas versões mais recentes (e estáveis) dos navegadores Firefox, Chrome, Opera, Internet Explorer e Safari, e em todos a vulnerabilidade estava presente. Isso não quer dizer, no entanto, que outros sistemas não estão vulneráveis – Adam Gowdiak, o CEO da empresa e pesquisador que divulgou a descoberta, disse que outros sistemas operacionais, tanto de 32 quanto de 64 bits, estão vulneráveis.

Assim como a falha mais recente, a recomendação é mesmo desativar o plugin caso você não o use. A Oracle↳Oracle22 conteúdosOracle lança Java 26 para aumentar produtividade de desenvolvedoresDev (Back & Front) · mar 2026Oracle oferece o primeiro cluster de computação em nuvem em escala ZettaDevSecOps · jan 2025Oracle abre inscrições para o ONE, programa gratuito de formação em tecnologia e inteligência artificialData · dez 2024Ver tudo em Data →, que mantém o Java, ainda não liberou uma correção de segurança. A firma não disse se já viu na web algum ataque explorando essa falha e estima que a Oracle só vai corrigi-la no dia 16 de outubro, que é a data em que está agendada a próxima atualização.

Por Rafael Silva