甲骨文紧急发布 Java 更新，修复 9.1 级 HTTPS 信任漏洞

甲骨文已发布紧急 Java 安全更新，修复编号为 CVE-2026-91403 的高危漏洞。该漏洞 CVSS 3.1 评分为 9.1，影响 Java 应用对数字证书的信任判断，涉及 Oracle Java SE 与 GraalVM。

根据甲骨文安全公告，问题出在 Java Secure Socket Extension（JSSE）组件，攻击复杂度低且无需认证或用户交互。更新通过不再信任受影响的中级证书颁发机构证书来阻断风险，目前尚无已确认的利用攻击报告。

漏洞基本情况

甲骨文于2026年10月21日发布安全公告，将CVE-2026-91403的CVSS 3.1评分定为9.1，属于高危级别。

按照甲骨文的评级，该漏洞利用复杂度低，不需要认证，也不需要用户交互。攻击一旦成功，可能导致敏感数据被泄露或被篡改；风险矩阵中未列出对可用性的影响。

甲骨文同时说明，受影响API可以通过向JSSE提供数据的服务被触达，公告还涉及部分加载不受信任代码的沙箱化Java Web Start应用和小程序。截至公告发布，尚无已确认的利用攻击报告。

证书信任为何失效

据Red Hat的解释，eMudhra签发了私钥强度不足的中级证书。位于Java客户端与服务器之间的攻击者可以利用这些弱密钥，为任意主机名签发证书，使恶意站点在客户端看来是可信的。

问题的核心在于Java判断远程服务是否可信时所依赖的证书链。HTTPS的身份校验一旦被绕过，仅靠加密本身无法保护连接，因为客户端已经把攻击者的证书当作有效证书接受。

因此，本次修复的做法是改变Java接受的证书范围，将受影响的中级证书颁发机构证书列入不信任名单，而不是取消HTTPS支持或替换整套证书体系。

受影响版本范围

甲骨文列出的受影响版本包括Java SE 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5和27.0.1。GraalVM方面涉及JDK 17.0.21与21.0.13对应的版本，以及GraalVM Enterprise Edition 21.3.20。

甲骨文表示，更早的版本也可能存在该问题，但不受支持的版本未经过测试。官方建议用户安装最新的Java更新，或按照其针对eMudhra的缓解说明操作。

此次紧急公告发布之前，甲骨文已在9月和8月进行过例行安全更新。公告提醒管理员应单独核对该专项公告，不要假定此前的更新已经覆盖这一证书问题。

临时缓解措施

对于无法立即更新的团队，可以用甲骨文提供的版本替换本地被阻止证书文件blocked.certs，并保留已有的自定义条目。在Java 8上，替换文件需要命名为blacklisted.certs。

另一种方式是启用TLS吊销检查，使用参数-Dcom.sun.net.ssl.checkRevocation=true和-Dcom.sun.security.enableCRLDP=true。在JDK 17及更高版本上验证已签名JAR时，可使用jarsigner -verify -revcheck -strict [SIGNED JAR]。

甲骨文强调，上述做法属于可选的替代方案，并非需要全部叠加执行的步骤。安装细节可查阅其补丁可用性文档，官方还建议将不受支持的部署迁移到受支持的版本。

要点

• CVE-2026-91403 的 CVSS 3.1 评分为 9.1
• 漏洞位于 JSSE 组件，攻击无需认证或交互
• 问题源于 eMudhra 签发的中级证书私钥过弱
• 受影响版本包括 Java SE 8u511、11.0.33、17.0.21 等
• 甲骨文未报告已确认的利用攻击