內文
事件起因是 eMudhra 的中繼 CA 私鑰失去安全性。 八張中繼 CA 憑證的金鑰產生方式有缺陷，讓第三方可從公開憑證還原私鑰。持有這些私鑰的人，可能冒充網站或服務，或製作受相關憑證信任的程式碼簽章。
為什麼 Java 要更新？ Oracle 與 OpenJDK 於 10/21 發布 CVE-2026-91403，CVSS v3.1 9.1 安全更新；Oracle 將受影響元件列為 JSSE（Java Secure Socket Extension）。Java 應用若仍接受相關憑證鏈，連向冒充的服務或信任相關簽章內容時，敏感資料可能遭讀取或竄改。應依原廠指引更新 Java 或其使用的憑證信任資料。
企業的Java API、ERP、報表、批次與委外系統，可能各自附帶不同執行環境及信任庫。除了對外服務，內部系統、容器、桌面程式與產品內嵌JRE也要盤點。
- 01
私鑰可被還原
eMudhra 中繼 CA 的金鑰產生方式有缺陷
- 02
冒充服務或簽章
第三方利用私鑰製作受相關憑證鏈信任的內容
- 03
Java 仍接受信任
應用未排除受影響憑證，並接觸冒充對端或簽章內容
- 04
資料暴露或遭竄改
連線或簽章信任失效，危及資料機密性與完整性
網站連線風險仍取決於應用接受的憑證鏈，以及攻擊者能否誘導連線或介入連線路徑；請逐一驗證實際應用。
行動建議：從外部邊界查到內部核心
- 01
找出所有Java
外網、內網、委外、容器與內嵌JRE逐一核對
看看能怎麼應對2項資源
TWISA 會員方案
找出所有Java
彙整Java主機與弱點清冊，追蹤更新進度；逐一核對應用實際使用的JDK、容器與內嵌JRE。
- 02
- 03
必要時先封鎖憑證
依OpenJDK指引更新封鎖檔或啟用撤銷檢查
查看處理指引2項資源
應對方式與指引
必要時先封鎖憑證
依OpenJDK指引更新封鎖檔或啟用撤銷檢查
- 04
重部署並主動複驗
確認實際JVM、信任資料與業務連線皆已更新
看看能怎麼應對2項資源
TWISA 會員方案
重部署並主動複驗
安排授權測試，確認不可信憑證會被拒絕、撤銷檢查可正常運作，並複驗API、批次及跨據點連線。
查看受影響版本與更新方式
- Oracle JDK更新： 27.0.1.0.2／25.0.5.0.2／21.0.13.0.2／17.0.21.0.2／11.0.33.0.2。Java 8及GraalVM依供應商本次憑證安全更新指引取得對應套件；各OpenJDK發行版依其供應商更新。
- Oracle Java SE： 8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1；Oracle GraalVM for JDK：17.0.21、21.0.13；Oracle GraalVM Enterprise Edition：21.3.20。依本次Security Alert取得對應補丁。
- OpenJDK： 27.0.1、25.0.5、21.0.13、17.0.21、11.0.33、8u512及更早版本。請取得供應商針對本次憑證事件的更新；上述版本仍在受影響清單中。
- 獨立安裝的OpenJDK： 優先更新執行環境。暫時無法更新時，可依原廠方法更新blocked.certs，或啟用應用程式的憑證撤銷檢查；同一台主機的多套Java須分別處理。
- 使用OS套件的OpenJDK： OpenJDK指出Arch Linux、Debian、Devuan、Fedora、Gentoo、Oracle Linux、RHEL及Ubuntu套件通常使用系統憑證，可更新系統憑證資料。FreeBSD與Homebrew套件須直接更新Java套件。
- 委外及套裝軟體： 取得產品供應商對內嵌JRE的更新，重建容器或部署套件，重新啟動後核對實際程序使用的runtime與信任資料。
暫時緩解：封鎖檔與撤銷檢查怎麼做
- 從OpenJDK公告取得對應作業系統的blocked.certs，套用至每套JDK的lib/security目錄。已有自訂封鎖項目時，先備份並將原項目併回新檔。
- JDK 8使用相同目錄下的blacklisted.certs檔名；請依公告將下載檔重新命名。Windows與其他作業系統使用各自對應檔案。
- TLS應用可依OpenJDK指引啟用com.sun.net.ssl.checkRevocation及com.sun.security.enableCRLDP。測試撤銷查詢所需連線與應用行為，避免更新後影響業務。
- JDK 17以上的簽署JAR，可依原廠jarsigner撤銷檢查方式驗證。完成後保留更新及測試紀錄。
記錄每個Java程序的完整版本、安裝來源、信任庫與維護負責人
業務連線依授權放行，各層分別落實防護
- 01
供應與部署來源
OS套件、獨立JDK、容器與產品內嵌JRE
看看能怎麼應對2項資源
TWISA 會員方案
供應與部署來源
彙整Java主機與弱點清冊，追蹤更新進度；逐一核對應用實際使用的JDK、容器與內嵌JRE。
查漏與追蹤核對正在使用的runtime，替換舊映像與執行環境
- 02
憑證信任資料
系統信任庫、Java憑證與封鎖檔
查看處理指引2項資源
應對方式與指引
憑證信任資料
依原廠更新憑證資料，保留既有自訂封鎖項目
排除受影響信任依原廠更新憑證資料，保留既有自訂封鎖項目
- 03
應用與跨境連線
API、批次、委外與跨據點服務
看看能怎麼應對2項資源
TWISA 會員方案
應用與跨境連線
安排授權測試，確認不可信憑證會被拒絕、撤銷檢查可正常運作，並複驗API、批次及跨據點連線。
主動驗證測試不可信憑證被拒絕，確認合法連線與撤銷查詢
- 04
核心資料與交易
帳號、業務資料及系統間傳輸
追查異常存取關聯連線、登入與資料異動，發現異常時保全紀錄
各層日誌與流量，送往監控與應變流程
- 憑證與連線紀錄關注憑證鏈、驗證失敗與異常對端
- 業務與資料稽核對照敏感資料存取及交易異動
- 修補後持續驗證追蹤漏更新runtime及新部署映像
外部網站更新後，內部批次、桌面程式與委外交付中的Java也要逐一確認。
TWISA 會員方案：盤點與主動驗證
找出漏更新的Java執行環境
彙整Java主機與弱點清冊，追蹤更新進度；逐一核對應用實際使用的JDK、容器與內嵌JRE。
驗證憑證與應用連線
安排授權測試，確認不可信憑證會被拒絕、撤銷檢查可正常運作，並複驗API、批次及跨據點連線。
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
通報更新日期：2026/10/24。產品支援與修補狀態以原廠最新資料為準。