CVE-2026-107726 Hazelcast 数据验证不当漏洞
影响攻击者可读取集群内存数据，甚至远程执行任意代码
Hazelcast 是统一的实时数据平台，融合流处理与快速数据存储。在 5.4.5、5.5.10、5.6.1 之前版本中，对恶意客户端提交的数据验证不当，可导致集群成员 Java 堆、堆外数据及 JVM 进程地址空间被任意读取。该缺陷还可导致集群成员崩溃，在部分企业版配置下可能造成内存破坏并实现任意代码执行。
影响范围
Hazelcast 5.4.5、5.5.10、5.6.1 之前的版本（slim 与 full 发行版均受影响），修复版本为 5.4.5、5.5.10、5.6.1 及 5.7.0。
漏洞详情
漏洞类型为数据验证不当（输入校验缺陷）。成因是集群未对恶意客户端提供的数据进行充分校验，攻击者可借此越界读取集群成员的内存数据。利用方式为攻击者先连接至 Hazelcast 集群，再发送特制请求触发任意读取、成员崩溃，企业版特定配置下还可能进一步实现内存破坏与任意代码执行。
利用条件与风险
利用前提是攻击者能够连接目标 Hazelcast 集群，属于网络可达即可尝试的远程攻击，CVSS 评级为 CRITICAL，实战风险极高。
修复建议
官方已在 5.4.5、5.5.10、5.6.1 和 5.7.0 版本中修复，建议尽快升级。临时缓解措施包括限制集群端口对外暴露、启用认证与网络访问控制，暂无其他公开信息。
Hazelcast is a unified real-time data platform combining stream processing with a fast data store. Prior to 5.4.5, 5.5.10, and 5.6.1, improper validation of data supplied by a malicious client able to connect to a cluster allows arbitrary reads from a cluster member’s Java heap, off-heap data, and JVM process address space. The same flaw can crash cluster members and, in some Hazelcast Enterprise Edition configurations, corrupt memory with possible arbitrary code execution. Both slim and full distributions are affected. This issue is fixed in versions 5.4.5, 5.5.10, 5.6.1, and 5.7.0.