Op 21 oktober 2026 publiceerde Oracle een waarschuwing voor CVE-2026-91403 in JSSE, Java’s component voor beveiligde netwerkcommunicatie. Oracle geeft de kwetsbaarheid een CVSS 3.1-score van 9,1. Java-beheerders kunnen het juiste advies bepalen door eerst de leverancier, het product en de exacte versie vast te stellen; daarna volgen Oracles stappen voor certificaatmitigatie.

Welke Java-versies noemt elk advies?

Oracle noemt de kwetsbaarheid op afstand exploiteerbaar via een netwerk, zonder gebruikersinteractie of vereiste rechten. De mogelijke gevolgen voor vertrouwelijkheid en integriteit zijn volgens Oracle hoog; de impact op beschikbaarheid is geen.

In Oracles productlijst staan deze versies:

  • Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 en 27.0.1.
  • Oracle GraalVM for JDK: 17.0.21 en 21.0.13.
  • Oracle GraalVM Enterprise Edition: 21.3.20.

Oracle biedt patches via het Security Alert-programma voor versies die onder Premier Support of Extended Support vallen. Oracle zegt dat eerdere versies mogelijk ook getroffen zijn; versies buiten die supportfasen zijn niet op deze kwetsbaarheid getest. De Oracle-waarschuwing verwijst naar de patchdocumentatie voor beschikbaarheid en installatie.

OpenJDK publiceerde op 21 oktober een afzonderlijk advies voor dezelfde CVE onder security-libs/javax.net.ssl en raadt een upgrade aan. Dat advies noemt 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.32.1, 8u504 en eerdere versies. Houd die lijst apart van Oracles productlijst: de versienummers en het productbereik verschillen. Het OpenJDK-advies bepaalt niet welke bijgewerkte pakketten iedere afzonderlijke Java-distributeur aanbiedt.

Wat je nodig hebt

CVE-2026-91403 in Java: versies en mitigatie

Noteer de exacte Java-distributie, productnaam en versie van elke installatie die je beheert. Breng ook de aangepaste truststores in kaart die applicaties gebruiken. De stappen van Oracle gelden voor Oracle JDK; de twee adviezen geven geen universeel pakketoverzicht voor alle Java-distributeurs.

Oracle-mitigatie stap voor stap

Oracle beschrijft twee opties: de genoemde rootcertificaten uit de truststore verwijderen of TLS-applicaties certificaatintrekkingen laten controleren. Maak vóór een wijziging een back-up van de truststore.

  1. Maak een back-up van de truststore. Doe dit vóór je certificaten verwijdert of andere wijzigingen uitvoert.
  2. Kies de verwijderingsoptie of de TLS-optie. De stappen hieronder zijn alternatieven.
  3. Verwijder bij de eerste optie beide genoemde rootcertificaten. Oracle noemt emSign ECC Root CA - G3, met alias emsigneccrootcag3 [jdk], en AAA Certificate Services, met alias comodoaaaca [jdk].Voor JDK 11 en later geeft Oracle deze commando’s:keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" Voor Java 8 gebruik je in plaats van -cacerts de optie -keystore [JDK_HOME]/jre/lib/security/cacerts.
  4. Herhaal de wijziging voor elke getroffen Java-installatie en aangepaste truststore. Oracle noemt beide expliciet als toepassingsgebieden.
  5. Kies je de TLS-optie, schakel dan de controle op certificaatintrekkingen in. Oracle geeft daarvoor deze JVM-properties:-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true Voor controle van ondertekende JAR-bestanden met JDK 17 en later noemt Oracle ook jarsigner -verify -revcheck -strict [SIGNED_JAR].

De mitigatie-instructies van Oracle Java bevatten de commando’s en aliases. Oracle noemt daarnaast een Java-update als maatregel tegen CVE-2026-91403.