A Oracle publicou em 21 de outubro de 2026 um alerta para a falha Java CVE-2026-91403, no componente JSSE, e atribuiu a ela nota 9,1 no CVSS 3.1. Para identificar se uma instalação está na lista afetada, confira o produto e a versão no aviso do fornecedor. Se usar a mitigação de certificados da Oracle, faça backup do truststore antes de escolher entre remover certificados ou ativar a verificação de revogação TLS.
O que a CVE-2026-91403 afeta no Java
A Oracle associa a CVE-2026-91403 ao JSSE, componente do Java usado em comunicações de rede. A matriz de risco do alerta de segurança da Oracle atribui CVSS 3.1 de 9,1. Os fatores listados são ataque pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, impacto alto sobre confidencialidade e integridade e nenhum impacto sobre disponibilidade.
A atualização Java descrita pela Oracle deixa de confiar nos certificados intermediários afetados relacionados à eMudhra. A orientação separada da Oracle para o truststore detalha medidas de certificado que administradores podem aplicar.
Confira a versão e o fornecedor
A Oracle lista estas versões afetadas para seus produtos:
- Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 e 27.0.1.
- Oracle GraalVM for JDK: 17.0.21 e 21.0.13.
- Oracle GraalVM Enterprise Edition: 21.3.20.
A Oracle informa que fornece patches de Security Alert apenas para versões em Premier Support ou Extended Support. Também afirma que versões anteriores podem ser afetadas; as que estão fora dessas fases de suporte não são testadas para esse problema.
O comunicado separado do OpenJDK lista a CVE em security-libs/javax.net.ssl, recomenda a atualização e apresenta esta declaração de versões afetadas: 27.0.1, 25.0.5, 21.0.13, 17.0.21, 11.0.32.1, 8u504 e anteriores. Consulte o aviso do OpenJDK para esse escopo; a lista não deve ser combinada com a matriz de produtos Oracle. Para uma distribuição de terceiros, siga o comunicado do fornecedor responsável por aquela build.
Prepare a mitigação do truststore
A página de mitigação do Oracle Java orienta fazer backup do truststore antes de alterá-lo. Depois, escolha uma das medidas descritas: remover os certificados associados aos aliases indicados ou ativar a verificação de revogação para aplicações TLS.
- Faça backup do truststore antes de qualquer alteração.
- Escolha uma das duas opções abaixo. As instruções de certificado e de revogação são caminhos alternativos.
Aplique a opção escolhida
Remover os certificados
A Oracle identifica os aliases emsigneccrootcag3 [jdk], referente a emSign ECC Root CA - G3, e comodoaaaca [jdk], referente a AAA Certificate Services. A sintaxe do keytool depende da versão do Java.
Para JDK 11 ou posterior, use -cacerts:
keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"
Para Java 8, substitua -cacerts pelo caminho do truststore:
keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -keystore [JDK_HOME]/jre/lib/security/cacerts -alias "comodoaaaca [jdk]"
Aplique a medida a cada instalação Java afetada e a cada truststore personalizado usado pela aplicação. A alteração no truststore padrão não cobre automaticamente um repositório personalizado.
Ativar a verificação de revogação TLS
Como alternativa à remoção, a Oracle indica estas propriedades para aplicações TLS:
-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true
Para verificar JARs assinados com JDK 17 ou posterior, a página também fornece este comando:
jarsigner -verify -revcheck -strict [SIGNED_JAR]
Essas medidas de truststore são distintas da atualização Java indicada pela Oracle para deixar de confiar nos certificados intermediários afetados.
