Oracle Java SE: CVE-2026-91403 in JSSE (CVSS 9,1)

Worum es geht

Oracle hat eine Sicherheitswarnung zu CVE-2026-91403 veröffentlicht. Sie betrifft die Komponente JSSE, also den Teil von Java, der verschlüsselte Verbindungen (TLS) aufbaut. Laut Oracle bringen die Updates mit, dass bestimmte Zwischenzertifikate im Zusammenhang mit eMudhra nicht mehr als vertrauenswürdig gelten. Zertifikate sind digitale Ausweise, mit denen sich Server gegenüber Programmen ausweisen.

Der CVE-Eintrag beschreibt die Folgen so: Ein Angreifer ohne Anmeldung kann über das Netzwerk Daten lesen, ändern oder löschen, auf die das betroffene Java-Produkt Zugriff hat. Die zugeordnete Schwächenklasse ist CWE-327, das steht für die Verwendung eines unsicheren kryptografischen Verfahrens.

Sind Sie betroffen?

Der CVE-Eintrag nennt diese Versionen: Oracle Java SE 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 und 27.0.1. Dazu kommen Oracle GraalVM for JDK 17.0.21 und 21.0.13 sowie Oracle GraalVM Enterprise Edition 21.3.20. Oracle schreibt außerdem, dass vermutlich auch frühere Versionen betroffen sind, die nicht mehr unterstützt werden.

Die installierte Version finden Sie am schnellsten auf der Kommandozeile mit dem Befehl java -version. Prüfen Sie das auf jedem Server und Arbeitsplatz, auf dem Java-Anwendungen laufen. Beachten Sie, dass manche Programme ein eigenes Java mitbringen. Dazu gehören Warenwirtschaft, Buchhaltung, Druckserver oder Überwachungswerkzeuge. Die Versionsangabe finden Sie dann oft nur im Installationsordner der Anwendung oder beim Hersteller des Programms.

Beachten Sie: Die Versionsliste im CVE-Eintrag kann unvollständig sein. Auch Produkte anderer Hersteller, die Java einbauen, und Pakete von Linux-Distributionen können betroffen sein.

Wie die Lücke funktioniert

Laut CVE-Beschreibung lässt sich die Lücke leicht ausnutzen. Ein Angriff ist möglich, wenn Programme die betroffenen Schnittstellen nutzen, etwa über einen Webdienst, der Daten an diese Schnittstellen weiterreicht. Zusätzlich betrifft sie Java-Umgebungen, die unbekannten Code aus dem Internet in der Java-Schutzumgebung (Sandbox) ausführen, also Java Web Start oder Applets. Solche Clients sind im Betrieb heute selten.

Die Einordnung als "Vertrauen in bestimmte Zwischenzertifikate" stammt aus dem Herstellerhinweis. Oracle beschreibt die Korrektur als Entzug dieses Vertrauens. Weitere technische Einzelheiten nennt der Hinweis nicht.

Einordnung der Kennzahlen und Stand der Reparatur

Ein Update gibt es: Oracle spricht von Java-Updates und verweist auf ein Dokument zur Verfügbarkeit der Patches (CPU426). Der CVE-Eintrag nennt noch keine reparierte Version, und der gelesene Herstellerhinweis nennt ebenfalls keine Versionsnummern. Die Nummern müssen Sie daher dem Oracle-Dokument entnehmen, das einen Oracle-Zugang voraussetzt. Der Hersteller empfiehlt, auf die jeweils neueste Java-Version zu aktualisieren oder die empfohlenen Gegenmaßnahmen umzusetzen.

Der CVSS-Wert beträgt 9,1 nach CVSS 3.1 und gilt als kritisch. Er beschreibt den möglichen Schaden bei Vertraulichkeit und Integrität, also beim Lesen und Verändern von Daten. Die Verfügbarkeit ist nicht betroffen. Der EPSS-Wert, eine Schätzung der Ausnutzung in den nächsten 30 Tagen, liegt bei 0,37 Prozent (Perzentil 30). Im CISA-Katalog bekannter, aktiv ausgenutzter Lücken taucht die CVE nicht auf.

Wenn Sie bei der Inventur der Java-Installationen oder beim Update Unterstützung wünschen, hilft ByePast gern.