Pour traiter la faille Java CVE-2026-91403, commencez par identifier votre distribution et sa version, puis suivez l’avis correspondant. Oracle a publié son alerte le 21 octobre 2026 : elle concerne JSSE, les bibliothèques Java dédiées aux communications réseau, et attribue à la vulnérabilité un score CVSS 3.1 de 9,1. Oracle décrit une mise à jour qui rejette des certificats intermédiaires liés à eMudhra ; sa page de mitigation détaille aussi des mesures sur le truststore, le magasin de certificats de confiance utilisé par Java.
Ce que l’alerte Oracle indique
Selon Oracle, CVE-2026-91403 est exploitable à distance, sur le réseau, avec une faible complexité, sans privilèges ni interaction de l’utilisateur. La matrice CVSS attribue un impact élevé à la confidentialité et à l’intégrité, et aucun impact à la disponibilité. Le score décrit la gravité et les conditions d’attaque ; il ne suffit pas à établir qu’une exploitation est en cours.
Oracle indique que la mise à jour Java liée à l’alerte rejette les certificats intermédiaires concernés, associés à eMudhra. Pour les versions et produits concernés, comparez les listes propres à chaque fournisseur plutôt que de traiter tous les numéros comme une liste Java universelle.
Repérer la version concernée
Oracle énumère les versions suivantes dans son alerte :
- Oracle Java SE : 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 et 27.0.1.
- Oracle GraalVM for JDK : 17.0.21 et 21.0.13.
- Oracle GraalVM Enterprise Edition : 21.3.20.
Oracle précise que les correctifs de Security Alert sont fournis pour les versions sous Premier Support ou Extended Support. Des versions antérieures peuvent également être concernées ; celles qui ne relèvent pas de ces périodes de support ne sont pas testées par Oracle pour cette faille.
OpenJDK a publié son propre avis le 21 octobre 2026. Il place le CVE dans security-libs/javax.net.ssl, recommande une mise à niveau et donne cette liste de versions : 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.32.1, 8u504 et les versions antérieures. Cette liste a un périmètre distinct de la matrice des produits Oracle ; elle ne donne pas le numéro exact du correctif pour chaque distribution OpenJDK tierce. L’avis OpenJDK
Préparer le truststore avant la mitigation
Oracle recommande de sauvegarder le truststore avant toute modification. Sa page de mitigation Java décrit ensuite deux possibilités : retirer les certificats racine nommés ou activer la vérification de révocation pour les applications TLS. Appliquez la méthode retenue à chaque installation Java concernée et à chaque truststore personnalisé.
Choisir une mesure adaptée à votre version
Option 1 : retirer les certificats nommés
Oracle donne les alias emsigneccrootcag3 [jdk] pour emSign ECC Root CA - G3 et comodoaaaca [jdk] pour AAA Certificate Services. Avec JDK 11 ou une version ultérieure, les commandes indiquées sont :
keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"
Pour Java 8, Oracle indique d’utiliser -keystore [JDK_HOME]/jre/lib/security/cacerts à la place de -cacerts :
keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "comodoaaaca [jdk]"
Option 2 : activer la vérification de révocation TLS
Pour les applications TLS, la page Oracle indique ces propriétés JVM :
-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true
Pour vérifier les signatures de JAR avec JDK 17 ou une version ultérieure, elle donne également cette commande :
jarsigner -verify -revcheck -strict [SIGNED_JAR]
Quelle que soit l’option choisie, la procédure doit couvrir les installations Java affectées et les truststores personnalisés utilisés par les applications concernées.
