一、漏洞概要與風險說明

Oracle 於 2026 年 10 月 21 日發布 CVE-2026-91403 安全警示，CVSS v3.1 基礎分數為 9.1。事件與 eMudhra 憑證授權機構（CA）多張中繼憑證的私鑰遭到破解／洩露有關；若 Java 信任庫仍信任相關憑證鏈，攻擊者可能利用脆弱的中繼憑證簽發偽造的網站憑證。

Java 的 JSSE（Java Secure Socket Extension）負責應用程式的 TLS 安全連線。受影響的 Java 信任資料可能使客戶端錯誤信任冒用其他網域的憑證，進而增加中間人攻擊（MitM）風險，可能導致連線遭攔截或傳輸資料遭竄改。

請清查範圍：校內網站與應用系統、API 串接、批次作業、容器映像檔、開發／測試環境、套裝軟體內嵌的 JRE，以及使用自訂 truststore 的 Java 程式。

二、受影響產品與版本

三、請各單位立即執行的五項措施

1. 盤點 Java 執行環境與實際版本
   確認伺服器、工作站、容器、排程工作與套裝系統使用的 Java 發行版、版本號及安裝路徑；可檢查 java -version，並確認服務實際執行的 JVM，而非只檢查系統預設 Java。
2. 優先安裝供應商安全更新
   Oracle Java SE／GraalVM 使用 Oracle 公告提供的修補；OpenJDK 則依實際發行版及維護供應商的公告更新。更新前請依變更管理程序備份並測試相容性。
3. Linux 同步更新系統根憑證
   依 Linux 發行版官方指引更新根憑證套件，例如 Debian／Ubuntu 系統通常使用 ca-certificates 套件；RHEL 系列則依其套件管理與安全公告處理。請勿將單一指令視為適用所有 Linux 發行版的通用方法。
4. 確認 Java 使用的信任庫已修補
   確認應用程式是否使用 JDK 內建的 cacerts、自訂 truststore，或由作業系統提供的憑證庫。若應用程式自帶 JRE／JDK 或獨立信任庫，須依供應商指引另行更新。
5. 重啟服務並驗證連線
   完成更新或緩解後，依變更程序重啟必要服務，測試合法 HTTPS／TLS、API、資料交換及批次作業是否正常，並檢查日誌是否出現憑證驗證錯誤或可疑連線。

四、暫時無法更新時的緩解措施

若系統因相容性或維運限制而無法立即升級，請先與系統供應商確認可行的暫時處置，並安排明確的修補時程。緩解措施不能取代正式安全更新。

方法 A：依供應商指引更新憑證封鎖清單

• 先確認該 Java 發行版支援的處置方式與官方提供的檔案來源，再依官方步驟更新其憑證封鎖清單。
• 不同 Java 版本及供應商的檔案名稱、路徑與更新方式可能不同；部分 JDK 版本使用 blocked.certs，舊版可能使用 blacklisted.certs。請勿直接以未核實的檔案覆蓋正式環境。
• 更新前備份原檔，完成後重新啟動相關服務並驗證憑證信任結果。

方法 B：啟用憑證撤銷檢查（需先測試）

部分 Java 應用程式可依官方文件設定憑證撤銷檢查，例如以下啟動參數：

此方式可能因應用程式、Java 供應商、憑證鏈及網路可達性而有不同效果，且可能造成連線失敗或效能影響。請先於測試環境驗證，並確認此設定是否適用於實際使用的 TLS 實作；不得將其視為所有環境均有效的通用修補。

方法 C：降低暴露風險

• 對必要服務限制網路來源，優先透過內部網路、VPN 或 IP 白名單存取。
• 檢視對外連線目的地與 TLS 憑證驗證紀錄，對異常憑證、非預期網域或可疑連線提高監控。
• 若無法確認風險已受控，請評估暫停高風險連線或服務，並依校內資安通報流程處理。

五、Linux 根憑證更新注意事項

Linux 上的 OpenJDK 套件可能使用系統憑證庫，也可能攜帶自己的 Java 信任庫，實際情況取決於發行版與套件來源。因此，請同時確認作業系統套件及 Java 執行環境的修補狀態。

請依實際 Linux 發行版與版本使用官方套件管理指引，不建議未確認套件名稱與來源前，直接在所有主機執行相同更新命令。

六、官方公告與參考資料

七、請協助轉知與追蹤

本頁依官方公告與相關供應商資訊整理供校內公告使用。實際受影響範圍、修補版本與緩解方式，請以 Oracle、OpenJDK、Linux 發行版及應用程式供應商的最新公告為準。