Java高危漏洞CVE-2026-914
【摘要】 2026 年 10 月 21 日，Oracle 在季度 CPU 之外紧急抛出一份安全警报：CVE-2026-91403，CVSS 3.1 评分 9.1（Critical），位于 Java 的 JSSE（Java Secure Socket Extension）组件。同一天 OpenJDK 也发布对应公告。JSSE 负责 Java 平台所有 TLS 握手与证书链校验。这次的问题根因非常“离谱”...
2026 年 10 月 21 日，Oracle 在季度 CPU 之外紧急抛出一份安全警报：CVE-2026-91403，CVSS 3.1 评分 9.1（Critical），位于 Java 的 JSSE（Java Secure Socket Extension）组件。同一天 OpenJDK 也发布对应公告。
JSSE 负责 Java 平台所有 TLS 握手与证书链校验。这次的问题根因非常“离谱”：
-
印度 CA 机构 eMudhra 在 2025 年 4 月的密钥生成流程中出现严重缺陷；
-
签出了 8 张中间 CA 证书，私钥弱到离谱——有的私钥就是数字
4，其余也只是几十到两百多的小整数； -
任何人拿公开证书就能反推私钥，进而为任意域名伪造合法 HTTPS 证书；
-
Java 的信任库（cacerts / blocked.certs）还在信任这批中间 CA，且 JSSE 默认不强制做 CRL/OCSP 吊销检查。
Oracle 官方点名的受影响版本：
-
Java SE：8u511（含 8u511-perf）、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1
-
Oracle GraalVM for JDK：17.0.21、21.0.13
-
Oracle GraalVM Enterprise Edition：21.3.20
OpenJDK 侧公告口径略有差异（如 8u512 及更早），但结论一致：8/11/17/21/25/27 全系当前版本基本都中招，不在支持周期内的老版本虽未逐一测试，也应视为潜在受影响。
典型风险场景：
-
后端服务用
HttpClient、OkHttp、RestTemplate调外部 HTTPS 接口； -
容器里打进来的 JRE 自带信任库；
-
签名 Jar 校验、Web Start/Applet 沙箱（历史场景但官方仍点名）；
-
CI 拉取依赖、镜像仓库、内部 CA 链路。
-
重新算出来只要几小时，补丁交付速度必须追上。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）