CVE Intelligence
Baixa

CVE-2015-2625 — Unspecified vulnerability in Oracle Java SE 6u95, 7u80, and 8u45; JRockit R28.3.6; and Java SE...

Unspecified vulnerability in Oracle Java SE 6u95, 7u80, and 8u45; JRockit R28.3.6; and Java SE Embedded 7u75 and 8u33 allows remote attackers to affect confidentiality via vectors related to JSSE.

Descrição oficial em inglês (tradução ainda não revisada).

Publicada em 16/07/2015 · Atualizada em 14/10/2026 · Fontes: NIST National Vulnerability Database, CVE Program (cve.org) e CISA ADP, GitHub Security Advisories · CNA: oracle

Quem explora e qual a prioridade

Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.

Nenhum sinal de exploração nas fontes consultadas até agora.
Como a nota foi calculada
  • EPSS 3.8% (probabilidade de exploração em 30 dias)+13
  • Exploração automatizável (SSVC)+3

A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).

Triagem

Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.

Exploração
Não confirmada
Fora da CISA KEV — ausência de registro, não prova de que não é explorada.
EPSS FIRST
3,81%
à frente de 90% das CVEs pontuadas · 14/10/2026
Afeta
Oracle
Jdk e mais 2
CVSS base
2.6
Baixa · 1 fonte(s)

Avaliação SSVC da CISA CISA

Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.

Exploração
Nenhuma
nenhuma · prova de conceito · ativa
Automatizável
Sim
se um atacante consegue automatizar as etapas da cadeia de ataque
Impacto técnico
Parcial
parcial · controle total do componente vulnerável

Remediação

Correções e mitigações documentadas pelas fontes — com link para o aviso original.

  • Patch documentado — www.oracle.com (NIST National Vulnerability Database)

Primeiras 24 horas

Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.

  1. Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Oracle Jdk, Oracle Jre, Oracle Jrockit).
  2. O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
  3. Aplique a versão corrigida ou o patch documentado na seção Remediação.
  4. Procure nos logs disponíveis sinais de tentativa de exploração, erros e anomalias de autenticação.

Escopo afetado

Fabricante, produto e versões como as fontes os descrevem.

FabricanteProdutoVersõesStatusFonte
Oracle Jdk versão 1.6.0-update95versão 1.7.0-update75versão 1.7.0-update80versão 1.8.0-update_33versão 1.8.0-update45 Vulnerável NIST National Vulnerability Database
Oracle Jre versão 1.6.0-update_95versão 1.7.0-update_75versão 1.7.0-update_80versão 1.8.0-update_33versão 1.8.0-update_45 Vulnerável NIST National Vulnerability Database
Oracle Jrockit versão r28.3.6 Vulnerável NIST National Vulnerability Database

Características do ataque

O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.

Vetor de ataque
Rede
Complexidade
Alta
Autenticação
Nenhuma
Confidencialidade
Parcial
Integridade
Nenhum
Disponibilidade
Nenhum

Todas as pontuações coletadas

As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.

NotaVersãoSeveridadeExplor.ImpactoPontuado por
2.6 CVSS 2.0 Baixa 4.9 2.9 nvd@nist.gov via NIST National Vulnerability Database
AV:N/AC:H/Au:N/C:P/I:N/A:N (nota exibida no topo: nvd@nist.gov)

Detecção

Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.

  • Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
logs web/proxy/WAFIDS/IPS de rede

Linha do tempo

O que aconteceu com esta CVE, do mais recente ao mais antigo.

  • 2026
  • Avaliação SSVC atualizada
    14/10/2026 · CVE Program (cve.org) e CISA ADP
  • Ficha publicada
    14/10/2026
  • Correção documentada
    14/10/2026 · NIST National Vulnerability Database
  • Produtos afetados adicionados · oracle/jdk, oracle/jre, oracle/jrockit
    14/10/2026 · NIST National Vulnerability Database
  • CVSS alterado · 2.6
    14/10/2026 · NIST National Vulnerability Database
  • Status na fonte alterado · → Modified
    14/10/2026 · NIST National Vulnerability Database
  • Registro criado nesta base
    14/10/2026 · Alertas do Telegram
  • 2015
  • CVE publicada
    16/07/2015 · oracle

Atividade das fontes

Leituras que se repetem foram contadas em vez de listadas.

  • 2× Referências adicionadas · 14/10/2026 – 14/10/2026
  • 1× Descrição oficial atualizada · 14/10/2026 – 14/10/2026

Referências

31 no registro

Em outras páginas do site

Oracle
todas as CVEs deste fabricante

CVEs relacionadas (mesmos produtos)

  • CVE-2026-34282 Uncontrolled Resource Consumption em Oracle Jre 21/04/2026
  • CVE-2026-34268 Exposure of Sensitive Information em Oracle Jre 21/04/2026
  • CVE-2026-22021 Uncontrolled Resource Consumption em Oracle Jre 21/04/2026
  • CVE-2026-22018 Allocation of Resources Without Limits or Throttling em Oracle Jre 21/04/2026
  • CVE-2026-22016 Exposure of Sensitive Information em Oracle Jre 21/04/2026
  • CVE-2026-22013 Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise… 21/04/2026

Não consta em nenhuma fonte consultada

Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.

  • Sem classificação CWE.
  • Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
  • Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
  • Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.

Respondido a partir deste registro

Texto montado apenas com os campos acima — sem afirmações adicionais.

O que os defensores devem saber primeiro?

CVE-2015-2625 é "Unspecified vulnerability in Oracle Java SE 6u95, 7u80, and 8u45; JRockit R28.3.6; and Java SE...", de severidade Baixa. Afeta Jdk (Oracle); as versões estão na tabela de escopo. Não está na CISA KEV, o que não exclui exploração. CVSS 2.6 descreve a severidade técnica. EPSS 3.81% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.

Comentários

Discussão técnica moderada. Leia as regras da comunidade.

Nenhum comentário ainda.

Entre ou crie uma conta para comentar e sugerir correções.