В Oracle Java JRE найдена критическая уязвимость, позволяющая выполнить код злоумышленника вне виртуальной машины при открытии специально оформленных web-страниц при наличии в web-браузере активного Java-плагина. Проблема присутствует в последнем выпуске Java 6 update 26 (build 1.6.0_26-b03), о времени выхода обновления с исправлением проблемы пока ничего не известно.

Уязвимость связана с особенностью использования небезопасного режима загрузки исполняемых файлов в ситуации нехватки свободной памяти. Данная особенность может быть использована для выполнения произвольного внешнего приложения при открытии специальной HTML-страницы, в которой загружаемый апплет размещен на удаленном сервере WebDAV или SMB.