CVE catalog

CVE-2026-70906

Vulnerability in Oracle Java SE (component: 2D). Supported versions that are affected are Oracle Java SE: 25.0.4 and 26.0.2. Easily exploitable vulnerability allows unauthenticated attacker with net

[CVE catalog]

Severity
High · CVSS 7.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Published
Updated
Source
[NVD] · [CVE record]
EPSS
0.46% · Oct 25, 2026

Vulnerability in Oracle Java SE (component: 2D). Supported versions that are affected are Oracle Java SE: 25.0.4 and 26.0.2. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of Oracle Java SE. Note: This vulnerability can be exploited by using APIs in the specified Component, e.g., through a web service which supplies data to the APIs. This vulnerability also applies to Java deployments, typically in clients running sandboxed Java Web Start applications or sandboxed Java applets, that load and run untrusted code (e.g., code that comes from the internet) and rely on the Java sandbox for security. CVSS 3.1 Base Score 7.5 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H).

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianopenjdk-17sid17.0.21+9-1not affected
Debianopenjdk-17bookworm17.0.19+10-1~deb12u2not affected
Debianopenjdk-17bookworm-security17.0.21+9-1~deb12u1not affected
Ubuntuopenjdk-25noble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-demonoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-docnoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-jdknoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-jdk-headlessnoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-jrenoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-jre-headlessnoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-jre-zeronoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-sourcenoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-25-testsupportnoble25.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-916.049~b88-1vulnerable
Ubuntuopenjdk-916.049~b101-2ubuntu2vulnerable
Ubuntuopenjdk-916.049~b102-1vulnerable
Ubuntuopenjdk-916.049~b113-0ubuntu1vulnerable
Ubuntuopenjdk-916.049~b114-0ubuntu1vulnerable
Ubuntuopenjdk-1320.0413+33-1vulnerable
Ubuntuopenjdk-1320.0413.0.1+9-2vulnerable
Ubuntuopenjdk-1320.0413.0.2+8-1vulnerable
Ubuntuopenjdk-1320.0413.0.2+8-2vulnerable
Ubuntuopenjdk-1320.0413.0.3+3-1ubuntu2vulnerable
Ubuntuopenjdk-1320.0413.0.4+8-1~20.04vulnerable
Ubuntuopenjdk-1320.0413.0.7+5-0ubuntu1~20.04vulnerable
Ubuntuopenjdk-1620.0416.0.1+9-1~20.04vulnerable
Ubuntuopenjdk-1822.0418~15ea-4vulnerable
Ubuntuopenjdk-1822.0418~20ea-1vulnerable
Ubuntuopenjdk-1822.0418~32ea-1vulnerable
Ubuntuopenjdk-1822.0418~36ea-1vulnerable
Ubuntuopenjdk-1822.0418.0.2+9-2~22.04vulnerable
Ubuntuopenjdk-2522.0425+36-1~22.04.2vulnerable
Ubuntuopenjdk-2522.0425.0.1+8-1~22.04vulnerable
Ubuntuopenjdk-2522.0425.0.2+10-1~22.04vulnerable
Ubuntuopenjdk-2522.0425.0.3+9-2~22.04.2vulnerable
Ubuntuopenjdk-2522.0425.0.4+7-1~22.04vulnerable
Ubuntuopenjdk-2522.0425.0.4.1+1-1~22.04.4fixed
Ubuntuopenjdk-2524.0425+36-1~24.04.2vulnerable
Ubuntuopenjdk-2524.0425.0.1+8-1~24.04vulnerable
Ubuntuopenjdk-2524.0425.0.2+10-1~24.04vulnerable
Ubuntuopenjdk-2524.0425.0.3+9-2~24.04.2vulnerable
Ubuntuopenjdk-2524.0425.0.4+7-1~24.04vulnerable
Ubuntuopenjdk-2524.0425.0.4.1+1-1~24.04.4fixed
Ubuntuopenjdk-2526.0425+36-1vulnerable
Ubuntuopenjdk-2526.0425.0.1+8-1vulnerable
Ubuntuopenjdk-2526.0425.0.1+8-2vulnerable
Ubuntuopenjdk-2526.0425.0.1+8-3vulnerable
Ubuntuopenjdk-2526.0425.0.2+10-1vulnerable
Ubuntuopenjdk-2526.0425.0.3~5ea-2vulnerable
Ubuntuopenjdk-2526.0425.0.3~7ea-2vulnerable
Ubuntuopenjdk-2526.0425.0.3+9-2~26.04.2vulnerable
Ubuntuopenjdk-2526.0425.0.4+7-1~26.04vulnerable
Ubuntuopenjdk-2526.0425.0.4.1+1-1~26.04.4fixed
Opensusejava-1_8_0-openj9tumbleweed1.8.0.504-1.1fixed
Opensusejava-25-openj9tumbleweed25.0.4.1-1.1fixed
Opensusejava-11-openj9tumbleweed11.0.32.1-1.1fixed
Opensusejava-21-openj9tumbleweed21.0.12.1-1.1fixed
Opensusejava-17-openj9tumbleweed17.0.20.1-1.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianopenjdk-17sourcesidNot affectedunimportantNot reportedNot reported
Debianopenjdk-17sourcebookwormNot affectedunimportantNot reportedNot reported
Ubuntuopenjdk-25debnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-demodebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-docdebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-jdkdebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-jdk-headlessdebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-jredebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-jre-headlessdebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-jre-zerodebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-sourcedebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25-testsupportdebnoble25.0.4.1+1-1~24.04.4Not reportedNot reportedNot reported
Ubuntuopenjdk-25deb22.0425.0.4.1+1-1~22.04.4Not reportedUBUNTU-CVE-2026-70906Not reported
Ubuntuopenjdk-25deb24.0425.0.4.1+1-1~24.04.4Not reportedUBUNTU-CVE-2026-70906Not reported
Ubuntuopenjdk-25deb26.0425.0.4.1+1-1~26.04.4Not reportedUBUNTU-CVE-2026-70906Not reported
Opensusejava-1_8_0-openj9rpmtumbleweed1.8.0.504-1.1Not reportedOPENSUSE-SU-2026:11641-1Not reported
Opensusejava-25-openj9rpmtumbleweed25.0.4.1-1.1Not reportedOPENSUSE-SU-2026:11643-1Not reported
Opensusejava-11-openj9rpmtumbleweed11.0.32.1-1.1Not reportedOPENSUSE-SU-2026:11639-1Not reported
Opensusejava-21-openj9rpmtumbleweed21.0.12.1-1.1Not reportedOPENSUSE-SU-2026:11642-1Not reported
Opensusejava-17-openj9rpmtumbleweed17.0.20.1-1.1Not reportedOPENSUSE-SU-2026:11640-1Not reported

OpenFactory catalog packages

[Debian 13 (Trixie)]

  • [openjdk-25-dbg]Affected

    Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • [openjdk-25-demo]Affected

    Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • [openjdk-25-doc]Affected

    Source package: [openjdk-25]

    Details (7)
    • 25.0.3+9-2~deb13u1 · all · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · all · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.2+10-1~deb13u2 · all · trixie-security

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · all · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · all · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • [openjdk-25-jdk]Affected

    Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • [openjdk-25-jre]Affected

    Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • Source package: [openjdk-25]

    Details (1)
    • 25.0.2+10-1~deb13u2 · amd64 · trixie-security

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • Source package: [openjdk-25]

    Details (7)
    • 25.0.3+9-2~deb13u1 · all · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · all · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.2+10-1~deb13u2 · all · trixie-security

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · all · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · all · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

  • Source package: [openjdk-25]

    Details (6)
    • 25.0.3+9-2~deb13u1 · amd64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · arm64 · trixie

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.3+9-2~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4.1+1-1~deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

    • 25.0.4+7-1~deb13u1 · amd64 · trixie-security · Historical version

      Affected · Fixed: 25.0.4.1+1-1~deb13u1

      nvd · openjdk-25 · debian · 13

[openSUSE Tumbleweed]

  • Source package: [java-11-openj9]

    Details (1)
    • 11.0.32.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 11.0.32.1-1.1

      Version impact unknown

      nvd · java-11-openj9 · opensuse · tumbleweed

  • Source package: [java-11-openj9]

    Details (1)
    • 11.0.32.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 11.0.32.1-1.1

      Version impact unknown

      nvd · java-11-openj9 · opensuse · tumbleweed

  • Source package: [java-11-openj9]

    Details (1)
    • 11.0.32.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 11.0.32.1-1.1

      Version impact unknown

      nvd · java-11-openj9 · opensuse · tumbleweed

  • Source package: [java-11-openj9]

    Details (1)
    • 11.0.32.1-1.1 · noarch · tumbleweed

      Unknown · Fixed: 11.0.32.1-1.1

      Version impact unknown

      nvd · java-11-openj9 · opensuse · tumbleweed

  • Source package: [java-11-openj9]

    Details (1)
    • 11.0.32.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 11.0.32.1-1.1

      Version impact unknown

      nvd · java-11-openj9 · opensuse · tumbleweed

  • Source package: [java-11-openj9]

    Details (1)
    • 11.0.32.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 11.0.32.1-1.1

      Version impact unknown

      nvd · java-11-openj9 · opensuse · tumbleweed

  • Source package: [java-17-openj9]

    Details (1)
    • 17.0.20.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 17.0.20.1-1.1

      Version impact unknown

      nvd · java-17-openj9 · opensuse · tumbleweed

  • Source package: [java-17-openj9]

    Details (1)
    • 17.0.20.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 17.0.20.1-1.1

      Version impact unknown

      nvd · java-17-openj9 · opensuse · tumbleweed

  • Source package: [java-17-openj9]

    Details (1)
    • 17.0.20.1-1.1 · x86_64 · tumbleweed

      Unknown · Fixed: 17.0.20.1-1.1

      Version impact unknown

      nvd · java-17-openj9 · opensuse · tumbleweed

Next results

Observed:

References