【漏洞通告】Oracle Java SE JSSE 中间CA证书信任漏洞(CVE-2026-91403)

深信服千里目安全实验室 · 2026-10-27 17:47 · 48 阅读

深瞳漏洞实验室 2026-10-27 17:47 北京

2026年10月27日，深瞳漏洞实验室监测到一则Oracle Java SE组件存在访问控制错误漏洞的信息，漏洞编号：CVE-2026-91403，漏洞威胁等级：高危。

漏洞名称：

Oracle Java SE JSSE 中间CA证书信任漏洞(CVE-2026-91403)

组件名称：

Oracle Java SE

影响范围：

Oracle Java SE:8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1

Oracle GraalVM for JDK:17.0.21、21.0.13

Oracle GraalVM Enterprise Edition:21.3.20

漏洞类型：

访问控制错误

利用条件：

1、用户认证：否

2、前置条件：默认配置

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易。

<综合评定威胁等级>：高危，危及机密性与完整性。

官方解决方案：

已发布

漏洞分析

组件介绍

Oracle Java SE是美国甲骨文(Oracle)公司开发的一款Java应用程序开发和运行平台，用于构建和部署桌面、服务器、嵌入式设备及实时环境中的Java应用程序；Oracle GraalVM for JDK和Oracle GraalVM Enterprise Edition是甲骨文公司基于Oracle Java SE推出、包含高性能云原生运行时的JDK发行版。三者均包含JSSE(Java Secure Socket Extension)安全组件，该组件提供SSL/TLS加密通信能力，负责Java应用网络连接的证书校验与信任链验证。

漏洞简介

2026年10月27日，深瞳漏洞实验室监测到一则Oracle Java SE组件存在访问控制错误漏洞的信息，漏洞编号：CVE-2026-91403，漏洞威胁等级：高危。

Oracle Java SE、Oracle GraalVM for JDK 及 Oracle GraalVM Enterprise Edition 的 JSSE 组件存在安全漏洞。该漏洞源于 Java 运行时默认信任库信任了私钥已泄露的 eMudhra 中间 CA 证书。该漏洞易于利用，无需身份认证的远程攻击者只要具备网络访问条件，即可通过多种协议发起攻击：攻击者若持有从被泄露 CA 签发的欺诈证书，并处于网络中间人位置，即可对 Java 应用发起或接受的 TLS 连接进行拦截、解密、篡改或服务器冒充；由于伪造证书能通过 Java 的全部常规证书校验，应用层不会抛出任何异常或告警，攻击难以察觉。影响范围覆盖 HTTPS、数据库、消息队列等所有基于 JSSE 的 TLS 通信场景，成功利用可导致关键数据乃至全部可访问数据被未授权读取，以及部分数据被未授权修改、插入或删除，严重危及数据的机密性与完整性。

影响范围

目前受影响的Oracle Java SE版本：

Oracle Java SE：8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1

Oracle GraalVM for JDK：17.0.21、21.0.13

Oracle GraalVM Enterprise Edition：21.3.20

解决方案