Java 重大漏洞 CVE-2026-91403

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

https://www.cve.org/CVERecord?id=CVE-2026-91403

https://www.oracle.com/security-alerts/alert-cve-2026-91403.html

研究了一下, 并不是只有文中提到的几个特定版本才有影响, 而是只测了这些版本发现有问题

换句话说基本所有的 JDK 都有漏洞风险

目前修复漏洞的新版本似乎都还没发布, 只能按公告的方法临时缓解

   # 1. 从 OpenJDK 公告页下载对应平台的 blocked.certs （公告 "Advice to users" 节有 Windows / 其他平台两个版本）
   # 2. 备份并替换（如果你之前没自定义过该文件，直接替换）
   cp $JAVA_HOME/lib/security/blocked.certs $JAVA_HOME/lib/security/blocked.certs.bak
   cp blocked.certs $JAVA_HOME/lib/security/blocked.certs
   # 3. JDK 8 特例：文件名是 blacklisted.certs ，路径相同

拉黑这八张证书 (八张都是 eMudhra （印度 CA ）的中级 CA 证书)

Java

漏洞

缓解

18 replies • 2026-10-23 16:16:42 +08:00

Vaspike

3 days ago

太疯狂了

E1n

3 days ago via Android

哈哈，确实老项目都是 jdk8

b821025551b

3 days ago

拉黑证书？那不还是印度那个 CA 问题吗

mengdodo

3 days ago

证书问题，跟 go 同一个问题吧

wxyrrcj

3 days ago

阿三首功

wxyrrcj

3 days ago

Oracle 官方修复指南：
https://ops.java/emudhra

alsas

3 days ago

阿三真的是害人不浅

RuralHunter

3 days ago

这个是只影响 oracle 的 jdk 还是 openjdk 也一样？

Vaspike

3 days ago

https://openjdk.org/groups/vulnerability/advisories/2026-10-21

Vaspike

3 days ago

@Vaspike #9 这里下载 blocked.certs

Vaspike

3 days ago

@RuralHunter 全影响

niubilewodev

3 days ago

这算重大漏洞吗？对于服务端来说，这种漏洞很难被应用。

msg7086

3 days ago

不是所有的 JDK ，是所有的互联网设施，包括各种语言，所有的浏览器，各大操作系统，全算在里面。

msg7086

3 days ago

CVE-2026-111943 Google / Go
CVE-2026-113470 Mozilla （ Firefox / Thunderbird
CVE-2026-113812 Perl
RHSB-2026-012 Red Hat
GHSA-6q48-6c7w-9gw2 Python
还有一些没分配漏洞编号的。

salmon5

2 days ago

AAA Certificate Services 有效期到 2029/01/01
emSign Root TLS CA - G3 有效期到 2043/2/19
新老 JDK 都有，影响重大。

salmon5

2 days ago

纠正：
AAA Certificate Services 有效期到 2029/01/01
emSign ECC Root CA - G3 有效期到 2043/2/19
新老设备都受影响，影响重大，特别是最近 2-3 年。

zero47

2 days ago

大家难道不套 nginx 的吗？

salmon5

2 days ago

这里说的漏洞是：中间人攻击（ Man-in-the-Middle Attack ，简称 MITM ）