Oracle выпустила новый патч Java из-за сертификатов eMudhra: что проверить в интеграциях
24 октября Oracle выпустила критическое предупреждение CVE-2026-114820. Новый патч Java удаляет корневые сертификаты: кому проверить среду исполнения, доверие TLS и соединения с API.
В этой статье
24 октября 2026 года Oracle выпустила экстренное предупреждение CVE-2026-114820: новые обновления Java удаляют корневые сертификаты, связанные с инцидентом eMudhra. Оценка Oracle — 9,1 по CVSS 3.1, критический уровень. Владельцам Java-сервисов, которые обращаются к платёжным шлюзам, CRM, почтовым API и другим системам по TLS, стоит проверить используемую среду исполнения и установить исправление своего поставщика.
Что изменилось 24 октября
Сам инцидент с ключами восьми промежуточных центров сертификации eMudhra произошёл раньше. Новость сейчас — отдельное предупреждение Oracle и расширенная мера защиты: из доверенного хранилища JDK удалены четыре корневых сертификата. Среди них три emSign и AAA Certificate Services, относящийся к Comodo, принадлежащей Sectigo. Это изменение доверия к цепочкам сертификатов, а не сообщение о новом взломе Java-приложений.
Oracle оценивает возможность сетевой эксплуатации без аутентификации. Риск связан с доверием к сертификатам: поддельная цепочка может нарушить проверку подлинности удалённой стороны. Предупреждение само по себе не подтверждает перехват соединений конкретного магазина или компрометацию его данных.
Какие версии проверить
В перечне Oracle указаны Java SE 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2 и 27.0.1.0.2. Также перечислены Oracle GraalVM for JDK 17.0.21.0.2 и 21.0.13.0.2 и GraalVM Enterprise Edition 21.3.20.0.2. Более ранние версии нельзя считать защищёнными только потому, что их нет в таблице: Oracle отдельно предупреждает об ограничениях проверки неподдерживаемых выпусков.
Для ветки Oracle JDK 17 исправленный выпуск подтверждён в официальных примечаниях: 17.0.21.0.3+1 от 24 октября. Он удаляет соответствующие корни из cacerts. Если вы уже установили 17.0.21.0.2 после предыдущего предупреждения, проверьте новое обновление: версия .0.2 прямо включена в список затронутых. Для других сборок Java и продуктов со встроенным JRE нужен ответ их поставщика, включая возможные исправления без смены основной версии.
Что сделать владельцу сайта и администратору
- Составьте список реально работающих Java-сервисов и их сред исполнения: системная Java, контейнеры и встроенные JRE могут обновляться независимо. Проверьте также отдельные доверенные хранилища приложений.
- Сохраните резервную копию конфигурации и хранилища доверия. Установите исправление поставщика в подходящее окно обслуживания, затем перезапустите затронутые процессы и убедитесь, что они используют обновлённую среду.
- Проверьте соединения с платёжными системами, CRM, почтой и другими API после изменения доверия. При ошибке цепочки проверьте сертификат удалённого сервиса; не отключайте проверку TLS и не добавляйте обратно в хранилище доверия корневые сертификаты, которые были исключены исправлением, только ради восстановления связи.
- Если обновление пока невозможно, согласуйте временную меру с администратором безопасности по инструкции Oracle. Изменение хранилища и проверка отзыва требуют учёта конфигурации приложения; универсальная команда для всех рабочих серверов здесь не подходит.
Для сайта без Java эта новость не означает необходимость менять PHP или TLS-сертификат наугад. Важна фактическая зависимость: например, отдельный Java-коннектор может работать рядом с интернет-магазином на другой платформе. Обновление пакета на диске не заменяет проверку запущенного процесса.
Источники и время проверки
Сведения проверены 25 октября 2026 года, 00:03 МСК. Дата предупреждения и исправленного выпуска — 24 октября. Условия применения и доступность патчей следует сверять у поставщика конкретной сборки.
On October 24, 2026, Oracle issued an emergency warning, CVE-2026-114820: new Java updates remove root certificates linked to the eMudhra incident. Oracle rates the severity at 9.1 on the CVSS 3.1 scale, classified as critical. Owners of Java services that connect to payment gateways, CRM systems, email APIs, and other systems via TLS should verify their runtime environment and apply the patch from their provider.
What changed on October 24
The incident involving the keys of eight eMudhra intermediate certificate authorities occurred earlier. The current news is a separate Oracle warning and an expanded protective measure: four root certificates have been removed from the trusted JDK store. These include three emSign certificates and one AAA Certificate Services certificate from Comodo, which is owned by Sectigo. This change affects trust in certificate chains, not a report of a new breach in Java applications.
Oracle assesses the possibility of unauthenticated network exploitation. The risk is tied to trust in certificates: a forged chain can compromise remote party authentication. The warning alone does not confirm that a specific store's connections were intercepted or that its data was compromised.
Versions to check
The Oracle list includes Java SE 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2, and 27.0.1.0.2. Also listed are Oracle GraalVM for JDK 17.0.21.0.2 and 21.0.13.0.2, and GraalVM Enterprise Edition 21.3.20.0.2. Earlier versions cannot be considered protected solely because they are absent from the table: Oracle separately warns about limitations when verifying unsupported releases.
For the Oracle JDK 17 branch, the corrected release is confirmed in the official release notes: 17.0.21.0.3+1 dated October 24. It removes the corresponding roots from cacerts. If you have already installed 17.0.21.0.2 after the previous warning, check the new update: version .0.2 is directly included in the list of affected versions. For other Java builds and products with a built-in JRE, a response from their vendor is required, including possible fixes without changing the major version.
Actions for site owners and administrators
- Compile a list of active Java services and their runtime environments: system Java, containers, and embedded JREs may be updated independently. Also verify individual application trust stores.
- Back up the configuration and trust store before proceeding. Apply the vendor patch during an appropriate maintenance window, then restart affected processes and confirm they are using the updated environment.
- After modifying trust settings, verify connections to payment systems, CRM, email services, and other APIs. If a chain error occurs, inspect the remote service's certificate. Do not disable TLS verification or re-add root certificates excluded by the patch to the trust store solely to restore connectivity.
- If an update is not yet possible, coordinate a temporary mitigation with the security administrator following Oracle's instructions. Modifying the trust store and verifying revocation status require application-specific configuration; a universal command for all production servers is not applicable here.
For a site without Java, this news does not mean you must blindly change PHP or the TLS certificate. What matters is the actual dependency: for example, a separate Java connector may run alongside an online store on a different platform. Updating a package on disk does not replace checking the running process.
Sources and verification time
Information verified on October 25, 2026, at 00:03 MSK. The warning date and the corrected release date are October 24. Application conditions and patch availability should be verified with the provider of the specific build.
Обсуждение 0
Делись опытом и задавай вопросы. Комментарии без ссылок появляются после проверки редактором.
Пока никто не написал. Начни обсуждение.