Oracle 揭露 Java 資安重大漏洞：更新與緩解方式
Oracle 於 2026 年 10 月 21 日發布 CVE-2026-91403 安全公告，指出 Oracle Java SE 與 Oracle GraalVM 的指定版本受影響。Oracle 提供的 Java 更新會將一組與 eMudhra 有關的中介憑證列為不受信任；無法立即更新的使用者，Oracle 另列出憑證封鎖與撤銷檢查兩種緩解方式。Oracle 安全公告、Oracle JDK 緩解說明
哪些 Java 版本列在公告中？
Oracle Java SE 列出的版本為 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5 與 27.0.1；Oracle GraalVM for JDK 列出 17.0.21 與 21.0.13，Oracle GraalVM Enterprise Edition 則列出 21.3.20。請先確認應用實際使用的產品與版本，再對照 Oracle 的 Patch Availability Document 及安裝指示。
Oracle 的 Java SE 風險矩陣給這個 CVE CVSS 3.1 基礎分數 9.1，並標示可經網路遠端利用、無需驗證。矩陣指向 JSSE 元件；公告舉例說，漏洞可能透過把資料提供給相關 API 的網路服務觸發，也提及載入不可信程式碼並仰賴 Java sandbox 的 Java Web Start 或 applet 部署。這是公告描述的元件與條件，不應改寫成一般 JVM 遠端程式碼執行漏洞。
Oracle 建議如何處理？
優先依 Oracle 公告與 Patch Availability Document 更新至適用的 Java 版本。若暫時無法更新，Oracle JDK 說明列出以下緩解方式：手動封鎖受影響的憑證，或為使用 TLS 的應用啟用憑證撤銷檢查。實際選項需依部署情況及應用設定採用。
Oracle 建議的處理路徑；TLS 撤銷檢查以中性設定圖示呈現，緩解選項依部署情境選用。
手動封鎖憑證時，先下載作業系統對應的 blocked.certs，找到 [JDK_HOME]/lib/security/blocked.certs 並替換。若原檔有自行新增的項目，Oracle 建議先備份，並在換檔後重新加入；Java 8 的檔名需改為 blacklisted.certs，位置相同。
手動封鎖憑證的檔案處理步驟示意圖。
對使用 TLS 的應用，Oracle 列出的 Java 參數是 -Dcom.sun.net.ssl.checkRevocation=true 與 -Dcom.sun.security.enableCRLDP=true。若要驗證簽署 JAR，Oracle 也提供 JDK 17 及更新版本使用的命令：jarsigner -verify -revcheck -strict [SIGNED_JAR]。這些是 Oracle 提出的條件式緩解指示；部署前應核對應用設定與相容性。
套用前要確認什麼？
Oracle 表示，Security Alert 修補只提供給仍在 Premier Support 或 Extended Support 階段的產品版本；不在這些支援階段的版本，Oracle 未測試公告所處理的漏洞。Oracle 認為較早的受影響產品版本也可能受影響，並建議升級至受支援版本。因此，先辨識實際使用的 JDK 與支援狀態，再依該版本的安裝文件更新或採用緩解措施。
原文：https://easyvibecoding.app/curated/3522-oracle-java-cve-2026-91403-emudhra
