Уязвимость в проверке цепочки сертификатов затрагивает Oracle Java SE, Oracle GraalVM for JDK и Oracle GraalVM Enterprise Edition. Причина в доверии к промежуточным сертификатам удостоверяющего центра eMudhra: по сообщению Oracle, они скомпрометированы, а среда исполнения Java продолжает считать их надежными. Пока доверие к ним не отозвано, атакующий может удаленно и без учетных данных опереться на такую цепочку при защищенном соединении. В первую очередь рискуют приложения на Java, которые проверяют сертификаты при соединениях по протоколу TLS (протокол защищенной передачи данных).
CVE-2026-91403 в компоненте JSSE
Oracle подтвердила уязвимость для перечисленных ниже выпусков и закрывает ее обновлениями Java. Проблема затрагивает компонент JSSE (Java Secure Socket Extension, расширение Java для работы с защищенными сокетами). Базовая оценка по CVSS 3.1 (общая шкала оценки опасности уязвимостей) - 9.1 из 10. Атака идет по сети, сложность низкая, привилегии не нужны, участие пользователя не требуется.
Доверие в TLS устроено как цепочка: корневой сертификат удостоверяющего центра подписывает промежуточные, а те выдают сертификаты конечным узлам. Компрометация промежуточного сертификата означает, что владелец его закрытого ключа может выпускать сертификаты от имени центра. Поэтому Oracle убирает доверие к конкретному набору промежуточных сертификатов eMudhra, а не ко всему центру.
Высокая оценка опирается на последствия, а не на сложность сценария. Успешная эксплуатация нарушает конфиденциальность и целостность данных; доступность не страдает, охват системы не меняется. Выполнение произвольного кода уведомление не заявляет и цепочку эксплойта не приводит. Итоговый риск зависит от того, как приложение использует JSSE.
По описанию Oracle, эксплуатация возможна через интерфейсы JSSE, когда веб-служба передает в них данные. Проблема касается и сред, где выполняется недоверенный код: сюда попадают приложения Java Web Start и апплеты, которые работают в изолированной среде (песочнице) и полагаются на нее для защиты.
Уязвимость подтверждена для Oracle Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 и 27.0.1. В линейке GraalVM for JDK затронуты выпуски 17.0.21 и 21.0.13, в GraalVM Enterprise Edition - 21.3.20. Более ранние выпуски тоже могут быть уязвимы. Версии вне фаз Premier Support и Extended Support (основной и расширенной поддержки) Oracle не проверяла и советует перейти на поддерживаемые.
Исправление - переход на последнюю версию Java. Отдельный номер исправленного выпуска Oracle не называет; точные сборки и инструкции перечислены в документе о доступности исправлений, ссылка на него есть в уведомлении. Уведомление выпущено 21 октября 2026 года, рекомендации обновлены 22 октября.
Сведений об эксплуатации в реальных атаках документ не содержит. Публикация уведомления означает раскрытие технических деталей, а не использование уязвимости. Сообщивших об уязвимости Oracle не указала.
Если обновиться сразу нельзя, Oracle предлагает два обходных пути. Первый - вручную заблокировать скомпрометированные сертификаты. Для этого нужно заменить файл со списком заблокированных сертификатов в каталоге безопасности среды исполнения на вариант для своей операционной системы. В Java 8 этот файл называется иначе, а собственные записи администратора при замене нужно сохранить. Второй путь - включить проверку отзыва сертификатов для TLS-приложений, чтобы среда обращалась к спискам отзыва, на которые ссылается сертификат. Подписанные JAR-архивы на JDK 17 и новее Oracle советует проверять утилитой jarsigner с включенной проверкой отзыва.
Сочетание сетевого доступа без учетных данных и высокой оценки делает обновление приоритетным для всех, кто использует перечисленные выпуски. При этом последствия ограничены доверием к сертификатам: выполнение кода и полный контроль над узлом уведомление не описывает. Насколько велик риск в конкретной системе, зависит от того, как приложение работает с JSSE и какие сертификаты принимает.
Ссылки
