甲骨文緊急修補Java 重大漏洞，被傳與eMudhra中介憑證外洩有關

10月20日甲骨文發布2026年第四季度的關鍵修補更新，總共處理1,209個漏洞，沒想到隔天又發布新的資安公告，主角是CVSS 3.1嚴重度評分為9.1分的CVE-2026-91403，警示此漏洞可透過網路利用，無須使用者互動，而且攻擊的複雜度低，目前已知受影響的產品都與Java平臺有關，包括GraalVM Enterprise Edition（21.3.20版）、GraalVM for JDK（17.0.21版與 21.0.13版），以及Java SE（8u511版、8u511-perf版、11.0.33版、17.0.21版、21.0.13版、25.0.5版、27.0.1版），漏洞存在的元件是Java安全通訊端擴充套件（Java Secure Socket Extension，JSSE）。值得注意的是，目前Oracle的這份公告尚未直接列出已修補版本，而「Patch Availability Document」的超連結則須通過甲骨文技術支援網站的身分驗證才能存取。

關於漏洞利用方式與發生位置，甲骨文表示，攻擊者可透過向API提供資料的web service的API，利用CVE-2026-91403；此漏洞也適用於 Java 部署環境，通常發生在執行沙箱化 Java Web Start 應用程式或沙箱化Java applet的客戶端中，而且，這些應用程式會載入並執行不可信的程式碼（例如來自網際網路的程式碼），並仰賴 Java 沙箱來確保安全性。

關於漏洞成因，甲骨文的資安公告並未交代，不過，根據資安新聞網站Cyber Kendra的報導，與CVE-2026-91403資安公告同樣是10月21日發布的OpenJDK公告指出，此漏洞與8個遭外洩的中介CA憑證有關，也就是10月20日曝光的印度數位憑證業者eMudhra中介CA憑證外洩事故，而Java正是受到此事影響的程式執行環境之一。