CVE-2026-103877: десериализация в Apache Directory LDAP API ведёт к RCE

В Apache Directory LDAP API нашли уязвимость десериализации (CWE-502), исправленную в версиях 2.1.9 и 1.2.9 по бюллетеню от 2 октября 2026 года. Атакующий без учётных данных может подменить ответ сервера на запрос схемы и выполнить код в Java-процессе клиента; случаев эксплуатации и публичных PoC пока нет.

• Уязвимы версии 2.1.0–2.1.8 и 1.2.0–1.2.8, патчи в 2.1.9 и 1.2.9
• Атака через ответ на запрос схемы LDAP, учётные данные не нужны
• ZoomEye: 154 хоста с app="ApacheDS", но встроенные копии не видны
• Shaded-копии библиотеки требуют пересборки у вендора, а не патча