Oracle mengeluarkan kemas kini keselamatan kecemasan untuk Java pada 21 Oktober 2026 bagi menangani kerentanan kritikal CVE-2026-91403, yang mempunyai skor keterukan CVSS 9.1 daripada 10.
Menurut Oracle, kerentanan tersebut berpunca daripada sijil keselamatan digital berkaitan eMudhra yang terjejas dan masih dipercayai oleh Java.
Kelemahan ini membolehkan serangan dilakukan dari jauh tanpa memerlukan pengesahan pengguna, sekali gus berpotensi menjejaskan keselamatan data.
Ia melibatkan komponen Java Secure Socket Extension (JSSE), yang digunakan untuk mengendalikan sambungan selamat seperti TLS.
Antara produk terjejas ialah Oracle Java SE versi 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 dan 27.0.1, termasuk varian 8u511-perf, serta beberapa versi Oracle GraalVM.
Apa Sebenarnya Berlaku Kepada eMudhra?
Insiden ini bermula pada 17 Oktober apabila seorang penyelidik keselamatan menemui kelemahan pada kunci peribadi lapan sijil pihak berkuasa pensijilan perantara (intermediate CA) milik eMudhra, sebuah penyedia sijil digital dari India.
Menurut Google, kunci tersebut dijana menggunakan tahap kerawakan kriptografi yang terlalu lemah sehingga boleh dipulihkan daripada maklumat awam.
Keadaan itu berpotensi membolehkan penyerang menghasilkan sijil palsu untuk menyamar sebagai laman web sah pada sistem yang masih mempercayai sijil terjejas.
eMudhra kemudian membatalkan kesemua lapan sijil pada 18 Oktober 2026.
Menurut kenyataan eMudhra, tujuh sijil tersebut tidak pernah digunakan dalam persekitaran produksi, manakala satu lagi digunakan tetapi tidak pernah mengeluarkan sijil kepada pengguna akhir.
Syarikat itu turut menegaskan bahawa infrastrukturnya tidak diceroboh dan tiada kebocoran data dikenal pasti.
Oracle Gesa Pengguna Kemas Kini Java
Susulan insiden tersebut, Google, Mozilla, Apple dan Microsoft telah mengambil langkah menyekat sijil yang terjejas bagi melindungi pengguna.
Google turut merancang mengeluarkan sijil akar emSign ECC Root CA – G3 daripada senarai sijil dipercayai Chrome mulai 27 Oktober 2026.
Sementara itu, Oracle menggesa pengguna mengemas kini Java kepada versi terkini yang mengandungi pembaikan keselamatan.
Bagi sistem yang belum dapat dikemas kini, pentadbir disarankan mengikuti panduan mitigasi Oracle, termasuk membuang kepercayaan terhadap sijil tertentu atau mengaktifkan semakan pembatalan sijil.
Langkah tersebut penting bagi mengelakkan aplikasi Java terus mempercayai sijil keselamatan yang berpotensi disalahgunakan.