Oracle публикува спешно обновяване за сигурност на Java за отстраняване на CVE-2026-91403 – критична уязвимост, засягаща начина, по който Java приложенията се доверяват на цифрови сертификати. Публикуван на 21 октомври 2026 г., бюлетинът определя за дефекта оценка 9.1 по CVSS 3.1 и обхваща Oracle Java SE и GraalVM. Обновяването блокира засегнатите междинни сертификати на удостоверителни органи, свързани с eMudhra.
Според бюлетина за сигурност на Oracle проблемът засяга компонента Java Secure Socket Extension (JSSE). Oracle класифицира експлоатацията с ниска сложност, като не се изисква удостоверяване или взаимодействие с потребителя. Успешните атаки могат да разкрият или променят чувствителни данни, въпреки че матрицата на риска не отчита въздействие върху достъпността.
Проблемът е свързан с веригите от сертификати, които Java използва, за да определи дали дадена отдалечена услуга е надеждна. Red Hat обяснява, че eMudhra е издала междинни сертификати със слаби частни ключове. Атакуващ, позициониран между Java клиент и сървър, би могъл да използва тези слаби ключове за създаване на сертификати за произволни имена на хостове, правейки злонамерен сайт да изглежда легитимен и надежден.
Това компрометира проверките за идентичност зад HTTPS. Самото криптиране не може да защити връзката, когато клиентът приема сертификата на атакуващия за валиден. Поради това корекцията променя кои сертификати се приемат от Java, вместо да премахва поддръжката на HTTPS или да заменя цялата система от сертификати. Обновяването на Oracle изрично премахва доверието към засегнатите междинни сертификати.
Засегнати версии на Java и GraalVM
Oracle посочва като засегнати Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 и 27.0.1. Включени са също GraalVM за JDK 17.0.21 и 21.0.13, както и GraalVM Enterprise Edition 21.3.20. По-ранните версии също могат да бъдат уязвими, но неподдържаните версии не са били тествани.
Oracle отбелязва, че засегнатите API интерфейси могат да бъдат достигнати чрез услуги, подаващи данни към JSSE. Бюлетинът обхваща и определени Java Web Start приложения и аплети в изолирана среда, които зареждат ненадежден код. Съобщението не съобщава за потвърдени атаки, експлоатиращи тази уязвимост.
Oracle препоръчва инсталиране на най-новото обновяване на Java или следване на инструкциите за смекчаване на въздействието за eMudhra. Екипите, които не могат да обновят незабавно, могат да заменят локалния файл blocked.certs с предоставената от Oracle версия, запазвайки съществуващите персонализирани записи. За Java 8 заместващият файл трябва да бъде именуван blacklisted.certs.
Като алтернатива Oracle съветва да се активират TLS проверките за оттегляне чрез използване на -Dcom.sun.net.ssl.checkRevocation=true и -Dcom.sun.security.enableCRLDP=true. За проверка на подписани JAR файлове в JDK 17 и по-нови версии се предоставя jarsigner -verify -revcheck -strict [SIGNED_JAR]. Това са алтернативни мерки, а не стъпки, които задължително трябва да се прилагат заедно.
Спешното предупреждение следва по-широките усилия на Oracle за отстраняване на уязвимости, включително обновяването за сигурност от септември и корекциите за сигурност от август. Въпреки това системните администратори трябва да проверят конкретно този бюлетин, вместо да предполагат, че по-ранните обновления покриват проблема със сертификатите. Oracle насочва клиентите към своя документ за наличност на корекции за подробности по инсталирането и препоръчва преминаване от неподдържани среди към поддържани версии.