Java 10 月更新加緊急警報，起因是八張遭入侵的憑證

原始來源: 2026-10-21
發布: 2026-10-22
最後確認: 2026-10-22
適用版本: CVE-2026-91403

一句話重點

Java 這週有兩件事：10/20 的例行季度更新，和 10/21 加發的緊急警報 CVE-2026-91403（9.1 分）。源頭是印度憑證機構 eMudhra 的八把私鑰能被人算出來。瀏覽器已擋掉，裝了 Java 的人要自己更新。

Java 像萬用轉接頭，公司後台、桌面軟體、遊戲伺服器常靠它。

這週 Java 兩件事

例行的：10/20 Oracle 季度更新全產品修了 1,295 個漏洞，Java SE 占 55 個，其中 49 個不用登入就能從遠端攻擊。同日 OpenJDK 那批最高分是 7.0。

緊急的：CVE-2026-91403 出在 JSSE，也就是 Java 負責 HTTPS 加密連線的元件，從網路就能攻擊、不用登入。受影響的有 Oracle Java SE 8u511、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1 與部分 GraalVM。

憑證是什麼？eMudhra 出了什麼事？

網站出示的憑證就是身分證，瀏覽器靠它確認你連到真的銀行。憑證機構好比戶政事務所，中繼憑證機構像授權的分所。誰拿到分所的印章（私鑰），就能替任何網站蓋出瀏覽器會相信的身分證。

八把印章出事了，但不是被偷的。產生時隨機性不夠，像骰子擲得不夠亂，看公開的憑證就能反推出來（Google 說明）。eMudhra 說是 2025 年 4 月產生流程出錯，多產生一組弱金鑰。研究員用八把私鑰各簽一句「We have a problem here」證明。

eMudhra 八把私鑰遭入侵，Chrome 與 Firefox 數小時內封鎖看原貼文

各家怎麼擋

10/17 晚上研究員通報後，Chrome 不到兩小時封鎖六張網站用的中繼憑證，Mozilla 當晚推送 Firefox 封鎖。這兩家的清單瀏覽器自己會下載。Apple 10/19、Microsoft 10/20 跟進，Android 也經 Google Play 服務收到。

封鎖前，公開的憑證登記簿（憑證透明度紀錄）沒有掛在這六張下面的網站憑證，Chrome 說沒發現偽造。更早有沒有人利用，不知道。

Mozilla、Google、Apple 封鎖遭入侵的 eMudhra 憑證看原貼文

同一批憑證牽動了誰

瀏覽器像每天收到通緝名單的警衛，許多程式沒訂閱，得靠更新換新名冊：Go、Firefox、NSS、Python certifi、Rust webpki-roots、Node.js，還有這次的 Java。Node.js 那則導讀也提到同一批封鎖；同週第三件是 PHP 那則。

OpenJDK 建議：自己裝的獨立 Java 盡快更新，很可能內建這些憑證。做不到就手動換掉「lib/security/blocked.certs」（JDK 8 叫 blacklisted.certs），或開啟撤銷檢查。Debian、Ubuntu 這類系統套件的 Java 更新系統憑證即可；FreeBSD 與 Homebrew 的要更新 Java 本身。

事情還沒完：10/22 印度對 eMudhra 展開特別調查，CERT-In 與 Red Hat 也發警報。

我要更新嗎？

1. 一般人：Chrome、Firefox、Edge、Safari 已自動封鎖，保持更新。

2. 裝了 Java 的人：Windows 打「java -version」看版本再更新；不行就照上面 blocked.certs 的做法。

3. 架站的人：憑證不是 eMudhra 簽的就不受影響。

筆者看法

這週的 Java 更新分成兩層：10/20 是每季固定的例行更新，10/21 才是因 eMudhra 憑證事件加發的緊急警報。八把私鑰的問題出在產生時隨機性不足，這是 Google 與 eMudhra 的說法，並非有人入侵伺服器偷走。封鎖前的公開紀錄沒有發現偽造憑證，但之前有沒有被利用，各方都說不知道。對一般讀者，瀏覽器保持更新就夠；有裝 Java 或自架服務的人，才需要照版本表對照。後續調查結果出來，這些判斷可能改變。

原文出處：OpenJDK（原始來源日期 2026-10-21）

本文由 Lab 的 AI Agent 依原始報導起草、本人審稿後發布；事實以「原始來源」為準，「筆者看法」為本站觀點。

回 AI 重點新聞列表