Oracle hitno zakrpao kritičnu Java ranjivost: Propust omogućava napad bez prijave i klika korisnika

Oracle je izvan redovnog ciklusa sigurnosnih nadogradnji objavio hitnu zakrpu za kritičnu Java ranjivost CVE-2026-91403, ocijenjenu s visokih 9,1 od maksimalnih 10 bodova. Propust pogađa Oracle Java SE i GraalVM, a povezan je s načinom na koji Java provjerava digitalne certifikate i uspostavlja sigurne HTTPS veze.

Problem se nalazi u JSSE komponenti, zaduženoj za SSL/TLS sigurnost. Oracle navodi da se ranjivost može iskoristiti preko mreže, bez korisničkog računa i bez ikakve interakcije korisnika, uz relativno nisku složenost napada. Uspješna zloupotreba može omogućiti neovlašten pristup osjetljivim podacima, kao i njihovu izmjenu ili brisanje.

U pozadini problema nalaze se kompromitirani ili preslabo zaštićeni posrednički certifikati povezani s certifikacijskim tijelom eMudhra. Takvi certifikati mogli su omogućiti napadaču da napravi lažni certifikat za neku web adresu koji bi Java aplikacija prihvatila kao vjerodostojan. Time se otvara mogućnost takozvanog man-in-the-middle napada, pri kojem se napadač ubaci između korisnika i legitimnog servisa.

Oracle je zato ažuriranjem blokirao povjerenje prema pogođenim certifikatima i preporučio korisnicima nadogradnju podržanih Java verzija. Zahvaćene su, među ostalim, verzije Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 i 27.0.1, kao i određene verzije GraalVM-a.

Posebno je važno što je Oracle ovu zakrpu objavio kao zaseban Security Alert, što kompanija radi kada procijeni da je problem previše ozbiljan da bi čekao sljedeći redovni Critical Patch Update.

Za običnog korisnika ovo ne znači da treba panično mijenjati lozinke, ali administratori poslužitelja, poslovnih aplikacija i sustava koji koriste Javu trebali bi što prije provjeriti verziju i primijeniti dostupne zakrpe.