网络安全

关于Oracle Java SE JSSE 中间CA证书信任漏洞（CVE-2026-91403）的预警通报

2026年10月27日浏览量： 10 次来源：网络与教育技术中心作者：邱明杰发布：网络与教育技术中心

近日，工作发现最新漏洞威胁：Oracle Java SE JSSE 中间CA证书信任漏洞CVE-2026-91403

Oracle Java SE、Oracle GraalVM for JDK 及 Oracle GraalVM Enterprise Edition 的 JSSE 组件存在安全漏洞。该漏洞源于 Java 运行时默认信任库信任了私钥已泄露的 eMudhra 中间 CA 证书。该漏洞易于利用，无需身份认证的远程攻击者只要具备网络访问条件，即可通过多种协议发起攻击：攻击者若持有从被泄露 CA 签发的欺诈证书，并处于网络中间人位置，即可对 Java 应用发起或接受的 TLS 连接进行拦截、解密、篡改或服务器冒充；由于伪造证书能通过 Java 的全部常规证书校验，应用层不会抛出任何异常或告警，攻击难以察觉。影响范围覆盖 HTTPS、数据库、消息队列等所有基于 JSSE 的 TLS 通信场景，成功利用可导致关键数据乃至全部可访问数据被未授权读取，以及部分数据被未授权修改、插入或删除，严重危及数据的机密性与完整性。

目前受影响的Oracle Java SE版本：

Oracle Java SE：8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1

Oracle GraalVM for JDK：17.0.21、21.0.13

Oracle GraalVM Enterprise Edition：21.3.20

官方修复方案为升级至对应修复版本及以上：

下载链接：

Oracle Java SE：https://www.oracle.com/java/technologies/downloads/

Oracle GraalVM：https://www.graalvm.org/downloads/

OpenJDK：https://jdk.java.net

请各单位增强网络安全防护意识，立即排查产品使用情况，并督促指导受影响单位及时升级漏洞补丁，消除风险隐患。同时，加强网络安全监测,如发现遭攻击情况及时处置并报告。