Aktualizované: OpenJDK odstránil korene eMudhra z úložiska cacerts
OpenJDK zlúčil do vývojovej vetvy zmenu, ktorá z cacerts odstraňuje tri koreňové certifikáty eMudhra aj súvisiaci koreň AAA Certificate Services. Existujúce inštalácie tým automaticky chránené nie sú.
OpenJDK cacerts eMudhra je ďalšou súčasťou reakcie na incident so slabými súkromnými kľúčmi intermediárnych certifikačných autorít. Projekt OpenJDK 24. októbra zlúčil do vetvy master zmenu 8395690, ktorá z predvoleného úložiska dôveryhodných certifikátov cacerts odstraňuje tri korene eMudhra a krížovo podpísaný koreň AAA Certificate Services.
Zmena sa týka certifikátov emSign Root CA – G1, emSign Root CA – G2, emSign ECC Root CA – G3 a Comodo AAA Certificate Services. Nejde o náhodné odstránenie súborov: úprava prešla kontrolou a do projektu bola integrovaná ako bezpečnostná zmena.
OpenJDK cacerts eMudhra mení dôveru v budúcich buildoch
Úložisko cacerts je trust store používaný Java prostredím pri overovaní certifikátov. Budúce buildy vytvorené z aktuálnej vetvy OpenJDK master preto týmto trom koreňom eMudhra ani súvisiacemu koreňu AAA Certificate Services nebudú dôverovať.
To rozširuje nápravu aj mimo webových prehliadačov. Predchádzajúce kroky sa týkali blokovania dotknutých intermediárnych CA v prehliadačoch, zatiaľ čo zmena v OpenJDK zasahuje predvolený trust store používaný serverovými a desktopovými Java aplikáciami.
Samotné zlúčenie zmeny do masteru však neznamená, že je už dostupná vo všetkých vydaných verziách OpenJDK alebo v distribúciách jednotlivých dodávateľov. Neurčuje ani termíny prípadných backportov. Existujúce inštalácie Java táto úprava automaticky nechráni.
Oracle vydal opravy pre CVE-2026-91403
Oracle už 21. októbra vydal aktualizácie Java pre zraniteľnosť CVE-2026-91403. Podľa bezpečnostného upozornenia zneplatňujú dotknuté intermediárne CA eMudhra.
Riziko sa viaže na slabé súkromné kľúče ôsmich intermediárnych CA eMudhra. Tie mohli v nezaplátaných Java TLS klientoch umožniť vystavenie dôveryhodne vyzerajúcich certifikátov pre ľubovoľné názvy hostiteľov. Potvrdené však nie je, že niektorý zo slabých kľúčov bol v praxi použitý na vydanie alebo nasadenie podvodného certifikátu.
Odstránenie koreňov z cacerts je odlišný krok od zneplatnenia konkrétnych intermediárnych CA v aktualizáciách. Výsledný stav trust storov sa môže medzi distribúciami JDK líšiť, pretože dodávatelia vydávajú opravy a aktualizujú svoje balíky samostatne.
Prevádzkovatelia majú overiť používanú distribúciu JDK
Prevádzkovatelia Java aplikácií by mali nasadiť bezpečnostné aktualizácie poskytované ich dodávateľom JDK a overiť, či ich používaná distribúcia už obsahuje zmeny súvisiace s CVE-2026-91403. Relevantné sú najmä systémy, ktoré fungujú ako TLS klienti a spoliehajú sa na predvolený trust store Java.
Ďalší vývoj ukážu vydania a backporty jednotlivých distribúcií OpenJDK, pokyny dodávateľov pre JDK, ktoré dotknuté korene ešte obsahujú, a ďalšie rozhodnutia root programov o zostávajúcich certifikátoch eMudhra.
Zdroje
- OpenJDK GitHub – Potvrdzuje zlúčenie zmeny do masteru 24. októbra 2026 a odstránenie štyroch súborov koreňových certifikátov z cacerts.
- Oracle Security Alert Advisory – CVE-2026-91403 – Potvrdzuje vydanie aktualizácií Oracle Java k CVE-2026-91403 a zneplatňovanie dotknutých intermediárnych CA eMudhra.
- Red Hat CVE-2026-91403 – Opisuje riziko pre Java TLS klientov a rozdiel medzi aktualizáciami trust storov jednotlivých distribúcií.
Overené a aktualizované: 25. 10. 2026 06:21
