Oracle publica un parche urgente para CVE-2026-114820, una falla remota en Java con puntaje 9,1

Oracle actualizó el 30 de octubre su alerta de seguridad para CVE-2026-114820. El parche de Java elimina certificados raíz afectados relacionados con eMudhra. La revisión 2 añadió Oracle Autonomous Health Framework, Oracle Database Server, OPatch y Oracle Hospitality SPMS a los productos que contienen versiones vulnerables, además de Java SE y GraalVM.

La matriz asigna CVSS 3.1 de 9,1 y marca que la falla puede explotarse remotamente sin autenticación. El riesgo depende de que una aplicación utilice las APIs afectadas; Oracle indica que el problema puede alcanzar servicios web que suministran datos a esas APIs y ciertos entornos Java aislados que ejecutan código no confiable. El puntaje no determina por sí solo la exposición de cada instalación.

Inventarie Java y productos Oracle embebidos, verifique versiones y aplique los parches indicados en el documento de disponibilidad. Considere también servicios, contenedores y aplicaciones que incluyan runtimes propios. Oracle señala que sumará productos embebidos al aviso a medida que haya parches; por eso conviene volver a consultar la matriz si su entorno depende de componentes Java administrados por terceros.

Tras actualizar, compruebe la versión desplegada, reinicie los servicios cuando el fabricante lo exija y registre la evidencia de cambio. Priorice sistemas expuestos a redes no confiables y aplicaciones que consuman contenido externo. Si la aplicación recibe certificados o contenido de eMudhra, revise las instrucciones específicas de Oracle antes de sustituir certificados manualmente para evitar interrupciones de confianza.

La alerta no publica un relato de explotación en clientes, ni afirma que la falla se esté usando activamente. El cambio de certificados y las versiones listadas son los hechos verificables; las organizaciones deben confirmar si sus productos usan las APIs impactadas. La versión de Oracle del 30 de octubre amplía el inventario afectado, por lo que una evaluación hecha solo con la versión inicial del 24 puede quedar incompleta.