L’avviso di sicurezza che Oracle ha pubblicato il 21 ottobre 2026 identifica CVE-2026-91403 in JSSE, la libreria Java per le comunicazioni di rete, e le assegna un punteggio CVSS 3.1 di 9,1. Per gli amministratori, il primo passo è confrontare prodotto e versione installati con l’avviso del fornitore; Oracle descrive anche misure sui certificati da applicare se l’aggiornamento non è subito installabile.

Che cosa riguarda CVE-2026-91403

Oracle collega la vulnerabilità a certificati intermedi di CA, cioè autorità di certificazione, relativi a eMudhra. L’aggiornamento Java descritto nell’avviso fa sì che quei certificati non siano più considerati attendibili.

La valutazione Oracle indica un attacco via rete, di bassa complessità, senza privilegi né interazione dell’utente. L’impatto potenziale è alto per riservatezza e integrità, mentre quello sulla disponibilità è indicato come nullo. Il punteggio 9,1 descrive la gravità e le condizioni d’attacco: da solo non dimostra che la vulnerabilità sia sfruttata.

Quali versioni controllare

Oracle elenca queste versioni interessate nei propri prodotti:

  • Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 e 27.0.1.
  • Oracle GraalVM for JDK: 17.0.21 e 21.0.13.
  • Oracle GraalVM Enterprise Edition: 21.3.20.

Oracle precisa che gli aggiornamenti delle Security Alert sono forniti per le versioni coperte da Premier Support o Extended Support. Le release fuori da queste fasi non sono state testate; anche release precedenti potrebbero essere interessate. L’avviso Oracle riporta la matrice dei prodotti e delle versioni.

OpenJDK ha pubblicato un avviso distinto per CVE-2026-91403 nella categoria security-libs/javax.net.ssl e raccomanda l’aggiornamento. La sua dichiarazione sulle versioni interessate è: 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.32.1, 8u504 e precedenti. È un elenco separato dalla matrice dei prodotti Oracle; per le build di altri distributori, l’avviso OpenJDK non indica il pacchetto corretto di ciascun fornitore. (Avviso OpenJDK)

Preparare la mitigazione Oracle del truststore

CVE-2026-91403 in Java: versioni e mitigazione

Oracle descrive due alternative per intervenire sul truststore, l’archivio dei certificati considerati attendibili: rimuovere i certificati root indicati oppure attivare il controllo di revoca per le applicazioni TLS. Prima di scegliere, fai una copia di sicurezza del truststore.

Rimuovere i certificati indicati

La guida Oracle nomina emSign ECC Root CA - G3, alias emsigneccrootcag3 [jdk], e AAA Certificate Services, alias comodoaaaca [jdk]. La sintassi dipende dalla versione Java:

  • JDK 11 e successivi:keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]"
  • Java 8: usa -keystore [JDK_HOME]/jre/lib/security/cacerts al posto di -cacerts:keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "comodoaaaca [jdk]"

Applica le modifiche a ogni installazione Java interessata e a ciascun truststore personalizzato usato dalle applicazioni. La guida di mitigazione Oracle Java riporta i passaggi e le varianti di sintassi.

Attivare il controllo di revoca TLS

In alternativa alla rimozione, la guida indica queste proprietà JVM per abilitare il controllo di revoca dei certificati nelle applicazioni TLS:

-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true

Per verificare JAR firmati con JDK 17 e successivi, Oracle indica il comando:

jarsigner -verify -revcheck -strict [SIGNED_JAR]