通告
Oracle 紧急安全警报 CVE-2026-91403（CVSS 9.1）：Java SE/GraalVM JSSE 不信任受影响 eMudhra 中间证书
Oracle 于 10 月 21 日发布周期外 Security Alert CVE-2026-91403，称漏洞位于 Java SE、GraalVM for JDK 与 GraalVM Enterprise Edition 的 JSSE 组件，CVSS 3.1 为 9.1，可在无需认证的网络条件下被利用，成功后可导致关键数据的未授权创建、删除、修改或读取。官方说明该警报通过 Java 更新使运行时不信任与 eMudhra 相关的受影响中间 CA 证书集；受影响版本包括 Java SE 8u511、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 及对应 GraalVM 构建。厂商建议升级至最新修复构建，或按 ops.java/emudhra 指引替换 blocked.certs（Java 8 为 blacklisted.certs）等缓解措施。
跟你的关系依赖 Oracle/OpenJDK 发行版做 TLS 或校验证书的服务应尽快升至对应小版本，或至少更新 JDK 内置证书封锁列表，避免仍信任已遭削弱的中间 CA。
活动
Oracle 警报与补丁说明发布于 2026-10-21；对应 eMudhra 中间 CA 弱密钥披露与浏览器处置约 10-17 至 10-20。
- 状态
- 已公开
- 行业
- 信息技术、专业服务、金融
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Oracle Security Alerts · 事件调查报告 · 最先提出
Oracle Security Blog · 事件调查报告 · 后来证实