CVE-2026-91403: Java JSSE доверяет скомпрометированным промежуточным CA eMudhra

В Java SE, GraalVM и OpenJDK нашли критическую уязвимость CVE-2026-91403 (CVSS 9.1): из-за компрометации ключей восьми промежуточных CA eMudhra рантаймы без патча доверяют поддельным TLS- и код-подписям. Проверка отзыва сертификатов в Java отключена по умолчанию, что позволяет атакующему в позиции AiTM перехватывать трафик. Исправления вышли в сборках 8u511+, 11.0.33.0.2+, 17.0.21.0.2+, 21.0.13.0.2+, 25.0.5.0.2+ и 27.0.1+.

• CVSS 9.1, CWE-327, опубликована 21 октября 2026 года
• Скомпрометированы 8 промежуточных ключей eMudhra — 16 сертификатов
• OCSP/CRL в Java отключены по умолчанию, что упрощает AiTM-атаку
• Патч: 8u511+, 11.0.33.0.2+, 17.0.21.0.2+, 21.0.13.0.2+, 25.0.5.0.2+