Oracle publicó el 21 de octubre de 2026 una alerta para CVE-2026-91403, una vulnerabilidad de JSSE, el componente de Java que gestiona conexiones de red seguras. Para administradores Java, el primer paso es identificar quién distribuye cada instalación y cotejarla con el aviso de ese proveedor. Oracle asigna al fallo una puntuación CVSS 3.1 de 9,1 y documenta medidas provisionales para el truststore, el almacén de certificados de confianza de Java.

Qué indica la alerta de Oracle

Oracle describe un ataque a través de la red, de baja complejidad, que no requiere privilegios ni interacción del usuario. Su matriz señala un impacto alto en la confidencialidad y la integridad, y ninguno en la disponibilidad. La puntuación CVSS resume gravedad y condiciones de ataque; no es por sí misma una indicación sobre si hay ataques en curso.

Oracle explica que sus actualizaciones de Java dejan de confiar en certificados intermedios relacionados con eMudhra. La alerta incluye una nueva actualización de seguridad de Java SE y remite a Oracle Support para consultar su disponibilidad e instrucciones de instalación. Las medidas sobre el truststore que se detallan aquí son una alternativa provisional, no sustituyen la actualización aplicable.

Comprueba las versiones según el proveedor

La alerta de Oracle enumera estas versiones afectadas en sus productos:

  • Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1.
  • Oracle GraalVM for JDK: 17.0.21 y 21.0.13.
  • Oracle GraalVM Enterprise Edition: 21.3.20.

Oracle proporciona parches de Security Alert para versiones bajo Premier Support o Extended Support. También indica que versiones anteriores pueden estar afectadas; las que quedan fuera de esos periodos de soporte no se han probado para este problema.

OpenJDK publicó por separado un aviso para CVE-2026-91403 en security-libs/javax.net.ssl y recomienda actualizar. Su aviso menciona 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.32.1, 8u504 y anteriores. Es una declaración propia del aviso de OpenJDK, no una lista universal para todas las distribuciones de Java. Si administras una compilación de otro proveedor, coteja el aviso que corresponda a esa distribución.

Cómo preparar la mitigación

CVE-2026-91403 en Java: versiones afectadas y mitigación

Oracle recomienda hacer una copia de seguridad del truststore antes de modificarlo. Después, plantea dos opciones: eliminar certificados raíz concretos o activar la comprobación de revocación para aplicaciones TLS. La sintaxis para eliminar certificados depende de la versión de Java.

Infografía: medidas sobre certificados en Oracle Java

  1. Haz una copia de seguridad del truststore. Conserva una copia antes de realizar cambios.
  2. Elige una de las medidas documentadas. Puedes eliminar los certificados mediante sus alias o activar la comprobación de revocación TLS con las propiedades JVM indicadas más abajo.
  3. Aplica la medida en cada ámbito afectado. Oracle indica que hay que repetir los cambios en las instalaciones Java afectadas y en los truststores personalizados que utilicen las aplicaciones.

La guía de mitigación de Oracle Java da los comandos y las propiedades para estas opciones.

Usa la sintaxis adecuada para Java 8 o JDK 11+

Para eliminar los certificados, Oracle indica estos alias: emsigneccrootcag3 [jdk], correspondiente a emSign ECC Root CA - G3, y comodoaaaca [jdk], correspondiente a AAA Certificate Services. En JDK 11 y posteriores, el comando utiliza -cacerts:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

En Java 8, sustituye -cacerts por -keystore [JDK_HOME]/jre/lib/security/cacerts:

keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "comodoaaaca [jdk]"

La alternativa para aplicaciones TLS consiste en activar la comprobación de revocación con estas propiedades:

-Dcom.sun.net.ssl.checkRevocation=true
-Dcom.sun.security.enableCRLDP=true

Para verificar JAR firmados con JDK 17 o posterior, Oracle también indica este comando:

jarsigner -verify -revcheck -strict [SIGNED_JAR]

Oracle distingue esta comprobación de la instalación de la actualización de seguridad correspondiente.