Внеплановый патч Java закрывает критическую уязвимость JSSE CVE-2026-91403

21 октября 2026 года OpenJDK раскрыла CVE-2026-91403 в JSSE — TLS-реализации Java с рейтингом CVSS 9.1. Уязвимость затрагивает даже версии из октябрьского патча (8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1) и GraalVM; причина — восемь скомпрометированных промежуточных сертификатов eMudhra со слабыми ключами.

• CVSS 9.1: эксплуатация по сети без аутентификации, низкая сложность
• Затронуты OpenJDK 8, 11, 17, 21, 25, 27 и GraalVM
• Октябрьский патч закрыл 55 уязвимостей Java SE, 49 — удалённо
• Java 26 больше не получает патчей, нужен переход на 25 LTS или 27