Producto(s) afectado(s):
| Producto | Versiones afectadas |
| Oracle Java SE | 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1 |
| Oracle GraalVM for JDK | 17.0.21, 21.0.13 |
| Oracle GraalVM Enterprise Edition | 21.3.20 |
Oracle indica que es probable que las versiones anteriores sin soporte también estén afectadas.
Descripción
Se ha publicado una vulnerabilidad crítica en el componente JSSE (Java Secure Socket Extension) de Oracle Java SE, Oracle GraalVM for JDK y Oracle GraalVM Enterprise Edition, identificada como CVE-2026-91403 (CVSSv3.1 9.1 – CRÍTICO). Un atacante no autenticado con acceso por red, a través de múltiples protocolos, puede explotarla fácilmente para crear, modificar o eliminar datos críticos sin autorización, y para acceder a todos los datos a los que tienen acceso estas plataformas.
La falla se debe a que el JDK seguía confiando en un conjunto de certificados de CA intermedia de eMudhra comprometidos (8 certificados intermedios de eMudhra y 8 con firma cruzada de Sectigo). El JDK los aceptaba como válidos en las conexiones TLS y en la verificación de JAR firmados.
Según Oracle, la vulnerabilidad puede explotarse mediante las APIs del componente, por ejemplo a través de un servicio web que les suministre datos. También afecta a los despliegues que ejecutan código no confiable dentro del sandbox de Java (aplicaciones Java Web Start o applets). A la fecha de este boletín, la CVE no figura en el catálogo KEV de CISA.
Mitigación
Si no es posible actualizar de inmediato, Oracle recomienda aplicar una de las siguientes medidas:
- Bloquear manualmente los certificados afectados: descargar el archivo blocked.certs publicado por Oracle para el sistema operativo correspondiente y reemplazar
[JDK_HOME]/lib/security/blocked.certs(antes, respaldar el archivo y volver a agregar las entradas propias). En Java 8, renombrar el archivo a blacklisted.certs, en la misma ubicación. - Habilitar la verificación de revocación: en aplicaciones TLS, agregar los parámetros
-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=trueen la línea de comandos. Para validar JAR firmados en JDK 17 y posteriores, usarjarsigner -verify -revcheck -strict [SIGNED_JAR].
Solución
Oracle publicó el 21/10/2026 un Security Alert fuera de ciclo con actualizaciones de Java. Se recomienda inventariar las instalaciones de Java SE y GraalVM, priorizar los servicios expuestos a Internet y actualizar a las siguientes versiones:
| Rama de Oracle Java SE | Versión corregida |
| 8 | 8u511 b32 (1.8.0_511-b32) |
| 11 | 11.0.33.0.2 |
| 17 | 17.0.21.0.2 |
| 21 | 21.0.13.0.2 |
| 25 | 25.0.5.0.2 |
| 27 | 27.0.1.0.2 |
Para Oracle GraalVM for JDK y Oracle GraalVM Enterprise Edition, aplicar los parches indicados en el Patch Availability Document de Java SE (My Oracle Support), enlazado desde el Security Alert.
Descargas de Oracle Java SE:
https://www.oracle.com/java/technologies/downloads/
Security Alert de Oracle:
https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
Información adicional:
- Oracle — Security Alert Advisory CVE-2026-91403:
https://www.oracle.com/security-alerts/alert-cve-2026-91403.html - Oracle — Distrusting eMudhra Intermediate Certificates in Oracle JDK:
https://ops.java/emudhra - NVD — CVE-2026-91403:
https://nvd.nist.gov/vuln/detail/CVE-2026-91403 - Oracle — Consolidated JDK 25 Release Notes (JDK 25.0.5.0.2):
https://www.oracle.com/java/technologies/javase/25all-relnotes.html - Oracle — JDK 8 Update Release Notes (8u511 b32):
https://www.oracle.com/java/technologies/javase/8all-relnotes.html - Oracle — JDK release list:
https://ops.java/releases/