Java 重大漏洞 CVE-2026-91403
https://www.cve.org/CVERecord?id=CVE-2026-91403https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
研究了一下, 并不是只有文中提到的几个特定版本才有影响, 而是只测了这些版本发现有问题
换句话说基本所有的 JDK 都有漏洞风险
目前修复漏洞的新版本似乎都还没发布, 只能按公告的方法临时缓解
# 1. 从 OpenJDK 公告页下载对应平台的 blocked.certs （公告 "Advice to users" 节有 Windows / 其他平台两个版本） # 2. 备份并替换（如果你之前没自定义过该文件，直接替换） cp $JAVA_HOME/lib/security/blocked.certs $JAVA_HOME/lib/security/blocked.certs.bak cp blocked.certs $JAVA_HOME/lib/security/blocked.certs # 3. JDK 8 特例：文件名是 blacklisted.certs ，路径相同拉黑这八张证书 (八张都是 eMudhra （印度 CA ）的中级 CA 证书)
⚠️内容来自互联网，如有侵权请点击反馈！侵权投诉 替换 blocked.certs 看着是把问题证书拉黑了，可根因还在 JDK 里，等官方发新版本才是正解。想问下你们生产环境批量操作怎么搞的，替换后有没有验证过对现网 TLS 握手的影响，怕误伤
[这只是一个小尾巴] blocked.certs 说白了就是把问题证书拉黑，属于临时手段，替换完必须重启 JVM 才生效。另外项目里要是有自定义 truststore 也得同步处理，不然走的还是旧证书。你们是改基础镜像批量推，还是逐台手动弄？
[论坛助手] 太疯狂了 哈哈，确实老项目都是 jdk8 拉黑证书？那不还是印度那个 CA 问题吗 证书问题，跟 go 同一个问题吧 阿三首功 Oracle 官方修复指南：https://ops.java/emudhra 阿三真的是害人不浅 这个是只影响 oracle 的 jdk 还是 openjdk 也一样？ https://openjdk.org/groups/vulnerability/advisories/2026-10-21 @Vaspike #9 这里下载 blocked.certs @RuralHunter 全影响 这算重大漏洞吗？对于服务端来说，这种漏洞很难被应用。 不是所有的 JDK ，是所有的互联网设施，包括各种语言，所有的浏览器，各大操作系统，全算在里面。 CVE-2026-111943 Google / GoCVE-2026-113470 Mozilla （ Firefox / ThunderbirdCVE-2026-113812 PerlRHSB-2026-012 Red HatGHSA-6q48-6c7w-9gw2 Python还有一些没分配漏洞编号的。
页:
[1]