Oracles Security Alert vom 21. Oktober 2026 nennt betroffene Java-SE- und GraalVM-Versionen für CVE-2026-91403. Wer eine Oracle-Java-Installation verwaltet, sollte zuerst Produkt und Build dem passenden Hinweis zuordnen. Falls sich das Update nicht sofort installieren lässt, empfiehlt Oracle als Mitigation, den Truststore zu sichern und entweder bestimmte Zertifikate zu entfernen oder die Widerrufsprüfung für TLS zu aktivieren. Die Befehle unterscheiden sich bei Java 8 und JDK 11 oder neuer.

Was Oracle zu CVE-2026-91403 sagt

Oracle ordnet die Schwachstelle der JSSE zu, den Java-Sicherheitsbibliotheken für Netzwerkkommunikation. Der Alert bewertet sie mit CVSS 3.1: 9,1. Ein Angriff ist laut Oracles Risikomatrix über ein Netzwerk, mit geringer Komplexität, ohne erforderliche Rechte und ohne Nutzeraktion möglich. Die möglichen Auswirkungen auf Vertraulichkeit und Integrität stuft Oracle als hoch ein, die auf Verfügbarkeit als keine. Der Score beschreibt Schweregrad und Angriffsbedingungen, nicht eine Beobachtung realer Angriffe.

Oracle erklärt, dass seine Java-Updates die betroffenen, mit eMudhra verbundenen Zwischenzertifikate nicht mehr als vertrauenswürdig einstufen. Die separate Mitigation-Anleitung für Oracle JDK beschreibt eine manuelle Alternative über den Truststore.

Java-Build dem richtigen Advisory zuordnen

Oracle führt diese Versionen in seiner Produktliste auf:

  • Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 und 27.0.1
  • Oracle GraalVM for JDK: 17.0.21 und 21.0.13
  • Oracle GraalVM Enterprise Edition: 21.3.20

Oracle stellt Security-Alert-Patches nur für Produktversionen bereit, die unter Premier Support oder Extended Support fallen. Oracle hält frühere Versionen betroffener Releases ebenfalls für wahrscheinlich betroffen; Versionen außerhalb dieser Supportphasen werden für diese Schwachstelle jedoch nicht getestet. Die Oracle-Sicherheitsmeldung enthält die Produktliste und Supportbedingungen.

OpenJDK führt CVE-2026-91403 in seinem eigenen Advisory unter security-libs/javax.net.ssl und empfiehlt ein Upgrade. Dort lautet die Versionsangabe: 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.32.1, 8u504 und frühere Versionen. Diese Angabe gehört zum OpenJDK-Advisory und ist nicht mit Oracles Produktliste gleichzusetzen. Bei einem Build eines anderen Anbieters ist dessen eigene Versionsangabe maßgeblich. OpenJDKs Advisory nennt die getrennte Versionsliste.

Truststore sichern und Maßnahme wählen

CVE-2026-91403: Java-Version prüfen und Truststore anpassen

Oracle empfiehlt, vor Änderungen eine Sicherung des Truststores anzulegen. Anschließend können Administratoren zwischen zwei Optionen wählen: die in Oracles Anleitung genannten Zertifikate entfernen oder die Widerrufsprüfung für TLS-Anwendungen aktivieren.

  1. Truststore sichern. Erstelle zuerst eine Sicherung, bevor du Zertifikate entfernst oder andere Änderungen vornimmst.
  2. Für die Entfernung die passende Java-Syntax verwenden. Oracles Anleitung nennt die Root-Zertifikate emSign ECC Root CA - G3 mit dem Alias emsigneccrootcag3 [jdk] und AAA Certificate Services mit dem Alias comodoaaaca [jdk].Bei JDK 11 und neuer lauten die Befehle:keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" Bei Java 8 ersetzt du in beiden Befehlen -cacerts durch -keystore [JDK_HOME]/jre/lib/security/cacerts.
  3. Oder die Widerrufsprüfung für TLS aktivieren. Oracle nennt dafür diese JVM-Optionen:-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true
  4. Die gewählte Maßnahme auf alle betroffenen Bereiche anwenden. Oracle empfiehlt, sie für jede betroffene Java-Installation und jeden benutzerdefinierten Truststore der Anwendungen zu wiederholen.

Die Befehle und Aliase stehen in Oracles Anleitung zu den eMudhra-Zwischenzertifikaten. Sie beziehen sich auf Oracle JDK; bei anderen Java-Distributionen sollte die jeweilige Anbieteranleitung gelten.

Signierte JARs mit JDK 17 oder neuer prüfen

Für die Prüfung signierter JAR-Dateien nennt Oracle diesen Befehl:

jarsigner -verify -revcheck -strict [SIGNED_JAR]

Die Prüfung mit jarsigner betrifft signierte JARs. Sie ersetzt nicht die Auswahl und Anwendung einer der beschriebenen Maßnahmen für Truststore oder TLS.

Kurzüberblick für Administratoren

  • Zuerst Anbieter, Produkt und Build bestimmen; Oracle- und OpenJDK-Listen getrennt behandeln.
  • Vor Änderungen am Truststore eine Sicherung erstellen.
  • Bei der Zertifikatsentfernung die passende Syntax für Java 8 oder JDK 11 und neuer verwenden.
  • Änderungen für betroffene Installationen und benutzerdefinierte Truststores wiederholen.