Oracle phát hành bản vá khẩn cấp cho lỗ hổng nghiêm trọng CVE-2026-91403 trên Java
Oracle vừa công bố bản cập nhật bảo mật khẩn cấp nhằm khắc phục lỗ hổng CVE-2026-91403, một điểm yếu nghiêm trọng trong cơ chế xác thực chứng chỉ số của Java và GraalVM.

- Lỗ hổng nghiêm trọng: CVE-2026-91403 đạt điểm CVSS 3.1 là 9.1, ảnh hưởng trực tiếp đến cách Java xử lý niềm tin vào chứng chỉ số.
- Cơ chế tấn công: Kẻ tấn công có thể lợi dụng các chứng chỉ trung gian yếu từ eMudhra để thực hiện tấn công Man-in-the-Middle (MitM), giả mạo các trang web tin cậy.
- Phạm vi ảnh hưởng: Nhiều phiên bản Java SE và GraalVM đang được sử dụng rộng rãi trong môi trường doanh nghiệp.
- Giải pháp khắc phục: Cập nhật lên phiên bản mới nhất hoặc áp dụng các biện pháp thay thế file cấu hình chứng chỉ bị chặn (blocked.certs/blacklisted.certs).
Oracle vừa chính thức phát hành một bản cập nhật bảo mật khẩn cấp để giải quyết lỗ hổng CVE-2026-91403, một điểm yếu bảo mật nghiêm trọng ảnh hưởng đến cách các ứng dụng Java tin tưởng vào chứng chỉ số. Được công bố vào ngày 21 tháng 10 năm 2026, lỗ hổng này được đánh giá với điểm số CVSS 3.1 là 9.1, xếp hạng ở mức nghiêm trọng (Critical), đe dọa trực tiếp đến tính toàn vẹn của các kết nối HTTPS trong hệ sinh thái Java SE và GraalVM.
Phân tích kỹ thuật về lỗ hổng CVE-2026-91403
Theo các nhà nghiên cứu bảo mật, vấn đề nằm ở thành phần Java Secure Socket Extension (JSSE). Lỗ hổng này phát sinh từ việc các chứng chỉ trung gian (intermediate certificates) do eMudhra cấp phát sử dụng các khóa riêng tư (private keys) yếu. Trong một kịch bản tấn công điển hình, kẻ tấn công đứng giữa (Man-in-the-Middle) có thể lợi dụng các khóa yếu này để tạo ra các chứng chỉ giả mạo cho bất kỳ tên miền nào, khiến các ứng dụng Java tin tưởng nhầm vào các trang web độc hại.
Việc này làm suy yếu hoàn toàn cơ chế kiểm tra danh tính đằng sau giao thức HTTPS. Ngay cả khi kết nối được mã hóa, nếu máy khách (Java client) chấp nhận chứng chỉ do kẻ tấn công cung cấp là hợp lệ, thì tính bảo mật của kết nối đó sẽ bị vô hiệu hóa hoàn toàn. Oracle đã quyết định thay đổi cách Java xác thực chứng chỉ, cụ thể là đưa các chứng chỉ trung gian bị ảnh hưởng vào danh sách đen (distrust) thay vì loại bỏ hoàn toàn hỗ trợ HTTPS.
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Mã CVE | CVE-2026-91403 | Lỗ hổng xác thực chứng chỉ số |
| Điểm CVSS | 9.1 (Critical) | Mức độ nghiêm trọng cao |
| Thành phần ảnh hưởng | JSSE (Java Secure Socket Extension) | Cơ chế xử lý kết nối bảo mật |
Các phiên bản bị ảnh hưởng
Oracle đã liệt kê danh sách các phiên bản Java và GraalVM bị ảnh hưởng bởi lỗ hổng này. Các quản trị viên hệ thống cần rà soát ngay lập tức hạ tầng của mình để xác định các phiên bản đang chạy:
- Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1.
- GraalVM: JDK 17.0.21, 21.0.13 và GraalVM Enterprise Edition 21.3.20.
Lưu ý rằng các phiên bản cũ hơn không được hỗ trợ cũng có khả năng bị ảnh hưởng, tuy nhiên Oracle không thực hiện kiểm thử trên các phiên bản này. Do đó, việc nâng cấp lên các phiên bản được hỗ trợ là yêu cầu bắt buộc để đảm bảo an toàn.
Hướng dẫn giảm thiểu và khắc phục
⚠️ Cảnh báo quan trọng: Nếu chưa thể cập nhật ngay lập tức, quản trị viên cần áp dụng các biện pháp giảm thiểu tạm thời để ngăn chặn nguy cơ bị khai thác.
Đối với các hệ thống không thể cập nhật ngay, Oracle cung cấp giải pháp thay thế bằng cách cập nhật file cấu hình chứng chỉ bị chặn. Người dùng cần thay thế file blocked.certs cục bộ bằng phiên bản mới do Oracle cung cấp. Đối với Java 8, file này cần được đặt tên là blacklisted.certs.
Ngoài ra, quản trị viên có thể kích hoạt kiểm tra thu hồi chứng chỉ TLS thông qua các tham số hệ thống sau:
-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=trueĐối với việc xác thực file JAR đã ký trên JDK 17 trở lên, hãy sử dụng lệnh sau để tăng cường kiểm tra:
jarsigner -verify -revcheck -strict [SIGNED_JAR]Các chuyên gia an ninh mạng khuyến cáo rằng việc áp dụng các bản vá chính thức từ Oracle Security Advisory vẫn là phương án tối ưu nhất. Việc duy trì các phiên bản phần mềm lỗi thời không chỉ khiến hệ thống dễ bị tổn thương trước CVE-2026-91403 mà còn đối mặt với nhiều rủi ro bảo mật khác chưa được vá.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.



