Oracle ha lanzado una actualización de seguridad de emergencia para Java con el fin de solucionar la vulnerabilidad crítica CVE-2026-91403. Este fallo, con una puntuación CVSS 3.1 de 9.1, afecta la forma en que las aplicaciones Java confían en los certificados digitales en Oracle Java SE y GraalVM. La actualización bloquea los certificados de autoridad de certificación intermedia afectados vinculados a eMudhra.

Oracle ha lanzado una actualización de seguridad de emergencia para Java para solucionar la CVE-2026-91403, una vulnerabilidad crítica que afecta a la forma en que las aplicaciones Java confían en los certificados digitales. Publicada el 21 de octubre de 2026, la alerta asigna al fallo una puntuación CVSS 3.1 de 9.1 y cubre Oracle Java SE y GraalVM. La actualización bloquea los certificados de autoridades de certificación intermedias afectados vinculados a eMudhra.

Según el aviso de seguridad de Oracle, el problema afecta al componente Java Secure Socket Extension, o JSSE. Oracle califica la explotación como de baja complejidad, sin necesidad de autenticación ni interacción del usuario. Los ataques exitosos pueden exponer o cambiar datos sensibles, aunque la matriz de riesgo no indica impacto en la disponibilidad.

El problema involucra las cadenas de certificados que Java utiliza para decidir si un servicio remoto es confiable. Red Hat explica que eMudhra emitió certificados intermedios con claves privadas débiles. Un atacante posicionado entre un cliente Java y un servidor podría usar esas claves débiles para crear certificados para nombres de host arbitrarios, haciendo que un sitio malicioso parezca confiable.

Esto debilita las comprobaciones de identidad detrás de HTTPS. El cifrado por sí solo no puede proteger una conexión cuando el cliente acepta el certificado de un atacante como válido. Por lo tanto, la solución cambia qué certificados acepta Java, en lugar de eliminar el soporte de HTTPS o reemplazar todo el sistema de certificados. La actualización de Oracle desconfía específicamente de los certificados intermedios impactados.

Versiones de Java y GraalVM afectadas

Oracle enumera como afectadas las versiones Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1. También se incluyen GraalVM para JDK 17.0.21 y 21.0.13, junto con GraalVM Enterprise Edition 21.3.20. Versiones anteriores podrían ser vulnerables, pero las versiones sin soporte no fueron probadas.

Oracle señala que las APIs afectadas pueden ser alcanzadas a través de servicios que suministran datos a JSSE. Su aviso también cubre ciertas aplicaciones Java Web Start en sandbox y applets que cargan código no confiable. El anuncio no informa de ataques confirmados que exploten esta vulnerabilidad.

Oracle recomienda que instales la última actualización de Java o que sigas sus instrucciones de mitigación de eMudhra. Los equipos que no puedan actualizar inmediatamente pueden reemplazar el archivo local blocked.certs con la versión suministrada por Oracle, conservando las entradas personalizadas existentes. Java 8 requiere que el archivo de reemplazo se llame blacklisted.certs.

Alternativamente, Oracle te aconseja habilitar las comprobaciones de revocación TLS usando -Dcom.sun.net.ssl.checkRevocation=true y -Dcom.sun.security.enableCRLDP=true. Para la verificación de JAR firmados en JDK 17 y posteriores, proporciona jarsigner -verify -revcheck -strict [SIGNED_JAR]. Estas son alternativas, no pasos que debas aplicar todos juntos.

La alerta de emergencia sigue a los esfuerzos de parcheo más amplios de Oracle, incluyendo su actualización de seguridad de septiembre y los parches de seguridad de agosto. Sin embargo, debes revisar este aviso específico en lugar de asumir que las actualizaciones anteriores cubren el problema del certificado. Oracle dirige a los clientes a su documento de disponibilidad de parches para obtener detalles de instalación y recomienda migrar los despliegues sin soporte a versiones soportadas.

Fuentes:
https://cybersecuritynews.com/emergency-java-update/