继21日 PHP 核心高危漏洞之后，甲骨文（Oracle）与 OpenJDK 官方安全团队于近日罕见发布了计划外（Out-of-Band）紧急安全警报，披露了存在于 Java 核心安全组件中的严重漏洞（漏洞编号：CVE-2026-91403），官方严重程度评分为 CVSS v3.1 9.1 分（Critical 严重级别）。
由于 Java 广泛应用于跨境电商后端（Spring Boot / 微服务）、企业级 ERP/订单管理系统、大数据组件以及 Minecraft 游戏服务器，破蜗壳 安全运维团队特此为您梳理该漏洞的底层风险与分步修复方案。
一、 漏洞内容与影响范围
-
漏洞编号： CVE-2026-91403
-
受影响组件： Java 安全套接字扩展（JSSE，Java Secure Socket Extension，即 Java 底层负责 TLS/HTTPS 加密通信的核心组件）。
-
受影响产品与版本：
-
Oracle Java SE：
8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1（注：更早期的未受支持旧版本同样受影响）。 -
Oracle GraalVM for JDK：
17.0.21、21.0.13。 -
Oracle GraalVM Enterprise Edition：
21.3.20。 -
OpenJDK 各发行版： 包含内置受影响根证书/中间证书信任库的各类独立 OpenJDK 运行环境。
-
-
核心危害： 未经身份验证的远程攻击者可通过多种网络协议（如 HTTPS、Web Services、远程 API 调用）利用该漏洞，在无需登录权限、无需用户交互的情况下，读取、创建、篡改或删除被攻击 Java 应用程序所能访问的全部敏感数据，或绕过 Java 沙箱执行恶意代码。
二、 漏洞产生原因（eMudhra 中间 CA 弱私钥导致 TLS 信任链被击穿）
根据 OpenJDK 官方安全公告（2026-10-21）及安全机构披露的底层原因，本次漏洞源于 证书颁发机构 eMudhra 的 8 张全局 TLS 中间 CA 证书出现灾难性弱私钥泄露：
-
在证书密钥生成过程中，由于严重缺陷，这 8 张具备签发网站域名证书权限的中间 CA 私钥竟被生成为极小的整数（其中一张中间 CA 的私钥值仅仅是数字
4，其余 7 张也仅为56到237之间的数值，且相关密钥已在 GitHub 上被公开）。 -
对 Java 服务器的致命威胁： 任何持有这些弱私钥的攻击者都可以任意伪造全球任何域名（如跨境支付网关 PayPal/Stripe、第三方 OAuth 登录接口、云存储 API 或 Maven 仓库）的“合法”SSL/TLS 证书。由于未打补丁的 Java（JSSE）默认信任该证书链，当您的 Java 后端服务向外发起 HTTPS 请求或通过 API 交换数据时，攻击者可轻松实施中间人劫持（MITM），解密并篡改所有加密通信流量。
三、 漏洞严重程度（CVSS v3.1 9.1）
-
CVSS 评分： 9.1 分（Critical 严重级别），评分向量为
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N。 -
风险定性： 攻击复杂度极低（Low）、无需任何权限（None）、无需用户交互（None），对系统机密性（Confidentiality）与完整性（Integrity）均造成最高等级（High）破坏。
四、 破蜗壳 平台响应与用户端修复计划
破蜗壳 全球 40+ 节点的 Linux 软件源已完成同步更新。由于不同用户安装 Java 的方式不同，请根据您的实际部署方式立即执行以下修复步骤：
1. 第一步：操作前创建快照备份（Snapshot） 登录 破蜗壳 控制台，为运行 Java 业务的云服务器创建一份最新 快照备份，保障业务升级零风险。
2. 第二步：按 Java 部署模式执行补丁更新
-
模式 A：使用 Linux 系统自带包管理器安装的 OpenJDK（Ubuntu / Debian / Rocky / AlmaLinux / CentOS） 主流 Linux 发行版自带的 OpenJDK 软件包默认共用操作系统的根证书信任库（
ca-certificates）。请立即通过 SSH 执行系统级更新，同时升级ca-certificates与openjdk软件包：-
Ubuntu / Debian：
apt update && apt install --only-upgrade ca-certificates openjdk* -y[cite: 10, 18]
-
Rocky / AlmaLinux / RHEL：
dnf update ca-certificates java-* -y[cite: 10, 18]
-
更新后请务必重启您的 Java 应用进程（如 Spring Boot / Tomcat / Minecraft 服务端）。
-
-
模式 B：手动安装的独立 Oracle JDK / GraalVM / 第三方 JDK 压缩包或 Windows 环境 独立安装的 Java 运行时使用其内部自带的
lib/security/cacerts证书库，仅更新 Linux 系统证书不会生效。请立即前往 Oracle 官方安全警报页面（或您的 JDK 发行商如 Adoptium Temurin、Amazon Corretto、Azul Zulu）下载并升级至已拉黑上述 8 张 eMudhra 中间证书的最新修补版本（如 JDK 2525.0.5.0、JDK 88.0.5110.32等对应补丁包）。 -
模式 C：Docker 与 Kubernetes 容器化 Java 微服务
请拉取已修复
CVE-2026-91403的最新 Java 基础镜像（如eclipse-temurin、openjdk或graalvm最新标签），重新构建（Rebuild）镜像并滚动重启所有容器实例。
3. 第三步：附带自查——检查您网站自身的 HTTPS 证书（10月27日前必查） 受此次事件影响，Google Chrome 已宣布将于 2026年10月27日 彻底移除对 emSign ECC Root CA – G3 根证书的信任（Mozilla、Apple 与 Microsoft 也已实施拦截）。若您部署在 破蜗壳 上的独立站或 API 域名恰好使用了由 eMudhra（emSign ECC Root CA – G3）签发的 SSL 证书，请立即在 10月27日前更换为 Let's Encrypt、Cloudflare 或 DigiCert 等其他权威机构的证书，以免访客浏览器出现红色不安全拦截警告。
如您在排查 Java 版本、更新容器环境或更换 SSL 证书过程中需要技术支持，请随时通过 破蜗壳 控制台提交工单，我们的工程师团队 7×24 小时为您护航。
破蜗壳 安全与运维团队
