CVE-2026-46495Disclosure

A critical CVSS 9.2 Java deserialization vulnerability allows an OpenDJ unauthenticated RCE. Patch CVE-2026-46495 immediately to protect your servers. #OpenDJ #RCE #CVE202646495 #Vulnerability #Cybersecurity https://securityonline.info/opendj-unauthenticated-rce https://t.co/iBFooTFAoM

OpenDJのLDAPディレクトリサービスで、認証なしで遠隔から任意コードを実行できる重大な脆弱性が見つかった。影響を受ける環境ではネットワーク経由でサーバーが乗っ取られる可能性があり、CVE-2026-46495として公開された。CVSSスコアは9.2である。 この脆弱性はJavaのデシリアライゼーション処理に起因するもので、CWE-502（信頼できないデータのデシリアライゼーション）に分類される。OpenDJは認証を行う前にJMX RMIコネクタへ送られたデータを処理するため、攻撃者は細工したデータを送信することで任意のコマンドを実行できる。攻撃にはJMX Connection Handlerが待ち受けるTCPポートへネットワーク経由で接続できるだけで十分で、クライアント証明書や認証情報は不要とされる。 OpenDJはLDAPv3準拠のディレクトリサービスで、Java上で動作し、組織のID情報を管理する用途で利用される。SQLやNoSQLクラスタをバックエンドとして利用できるほか、システム監視のためJMX Connection Handlerを有効にして運用している環境もあり、その場合は攻撃対象が広がるとしている。 この問題はOpenDJ Community Edition 5.1.0以前に影響し、研究者はバージョン4.4.15で攻撃を実証した。公開済みの概念実証（PoC）コードも存在する一方、現時点で実際の悪用は確認されていないという。修正版はOpenDJ Community Edition 5.1.1で提供されており、利用者には速やかな更新が推奨されている。CVE-2026-46495。 https://securityonline.info/opendj-unauthenticated-rce/

🚨Critical - OpenDJ Pre-Auth RCE via Java Deserialization in JMX RMI (CVE-2026-46495) OpenDJ's JMX RMI connector deserializes untrusted data before authentication. The JMX Connection Handler reads and processes attacker-controlled bytes prior to any auth check, letting an unauthenticated remote attacker deserialize arbitrary Java objects on the directory server and achieve remote code execution. The handler is disabled by default but is commonly enabled for monitoring integrations. Exploitation needs only TCP reachability to the JMX listener - no credentials, prior privileges, or client certificates - with impact depending on the runtime classpath and Java version. Unauthenticated RCE was demonstrated on OpenDJ 4.4.15 (JDK 11 + Jackson 2.12.6.1). 👉Upgrade to OpenDJ 5.1.1.