Oracle warnt vor kritischer Java-Schwachstelle CVE-2026-91403

Dieser Artikel wurde bereits 14x gelesen...

Oracle hat am 21. Oktober 2026 eine außerplanmäßige Sicherheitswarnung zu CVE-2026-91403 veröffentlicht. Die Schwachstelle steckt in JSSE (Java Secure Socket Extension), der Java-Komponente für TLS-Verbindungen. Oracle bewertet das Risiko mit CVSS 3.1 und 9,1 von 10 Punkten. Ein Angreifer kann sie über das Netzwerk und ohne Anmeldung ausnutzen; erforderlich sind laut Risikomatrix weder besondere Rechte noch eine Interaktion durch Nutzerinnen oder Nutzer.

Was die Schwachstelle bedeutet

JSSE wird von Java-Anwendungen für verschlüsselte Netzwerkkommunikation eingesetzt. Laut Oracle kann ein Angriff über mehrere Protokolle erfolgen und bei erfolgreicher Ausnutzung die Vertraulichkeit und Integrität von Daten beeinträchtigen. Die Verfügbarkeit ist im CVSS-Wert nicht als betroffen eingestuft. Oracle nennt als möglichen Angriffsweg unter anderem APIs der Komponente, etwa wenn ein Webservice Daten an diese APIs weitergibt. Die Warnung betrifft deshalb nicht ausschließlich öffentlich erreichbare Java-Webserver: Auch andere Anwendungen, die Java und JSSE nutzen, sollten inventarisiert und bewertet werden.

Betroffene Versionen

Oracle führt für Java SE die Versionen 8u511 (einschließlich 8u511-perf), 11.0.33, 17.0.21, 21.0.13, 25.0.5 und 27.0.1 als betroffen auf. Bei Oracle GraalVM for JDK nennt die Matrix 17.0.21 und 21.0.13; bei Oracle GraalVM Enterprise Edition ist Version 21.3.20 aufgeführt. Die Auflistung bezeichnet unterstützte, betroffene Versionen und ist keine Aussage, dass ältere oder nicht mehr unterstützte Releases sicher sind. Oracle weist ausdrücklich darauf hin, dass frühere Versionen ebenfalls betroffen sein können und empfiehlt den Wechsel auf unterstützte Versionen.

Updates und empfohlene Schritte

Oracle stellt Java-Updates bereit, die eine Gruppe betroffener Zwischenzertifikate der Zertifizierungsstelle eMudhra nicht mehr als vertrauenswürdig behandeln. Administratorinnen und Administratoren sollten zunächst feststellen, welche Java-Laufzeitumgebungen und GraalVM-Versionen auf Servern, Fachanwendungen und Arbeitsplatzrechnern installiert sind. Anschließend sollten die von Oracle bereitgestellten Aktualisierungen entsprechend der jeweiligen Produkt- und Supportversion eingespielt werden. Die Patch-Dokumentation und Installationshinweise sind über Oracles Patch Availability Document abrufbar; Oracle verweist außerdem auf Informationen unter ops.java/emudhra.

Wo ein sofortiges Update nicht möglich ist, sollte die von Oracle dokumentierte Mitigation geprüft werden. Dabei sind Abhängigkeiten und Auswirkungen auf Anwendungen zu berücksichtigen und Änderungen kontrolliert zu testen. Besonders wichtig ist die Prüfung von Diensten, die externe oder nicht vertrauenswürdige Daten über JSSE verarbeiten, sowie von Java-Installationen, die in eingebetteten oder weniger sichtbaren Komponenten mitgeliefert werden.

Quelle: oracle.com, oracle.com