親愛的 LuckVM 客戶您好：
繼昨日 PHP 重大遠端程式碼執行漏洞後，甲骨文（Oracle）與 OpenJDK 官方於近日緊急發布例行週期外的安全警報（Out-of-Band Security Alert），揭露編號為 CVE-2026-91403 之高風險資安漏洞，官方嚴重性評分高達 CVSS v3.1 9.1 分（Critical 嚴重等級）。台灣數位發展部資通安全署亦已於今日（10/22）同步發出警訊，呼籲各企業與開發團隊儘速完成環境盤點與修補。
為保障您在 LuckVM 台灣、香港及全球節點雲端主機（VPS）與專屬實體伺服器上運行的企業後端系統、金融交易介面、跨海電商與遊戲伺服器安全，LuckVM 資安維運團隊特此提供完整漏洞說明與修補計畫。
一、 漏洞內容與受影響範圍
-
漏洞識別碼： CVE-2026-91403
-
受影響核心元件： Java 安全通訊端擴充套件（JSSE，Java Secure Socket Extension，負責處理 Java 應用程式之 TLS/HTTPS 加密連線與憑證驗證）。
-
受影響產品與版本清單：
-
Oracle Java SE：
8u511、8u511-perf、11.0.33、17.0.21、21.0.13、25.0.5、27.0.1（以及更早期未受原廠技術支援之舊版本）。 -
Oracle GraalVM for JDK：
17.0.21、21.0.13。 -
Oracle GraalVM Enterprise Edition：
21.3.20。 -
OpenJDK 執行環境： 凡內建預設憑證信任庫（
cacerts）且尚未移除問題憑證之獨立 OpenJDK 版本皆受波及。
-
-
潛在資安衝擊： 未經身分驗證之遠端攻擊者可透過網路存取及多種通訊協定利用此漏洞，在無須取得帳號權限、無須使用者互動的情況下，未經授權讀取、新增、修改或刪除受影響 Java 應用程式所能存取之所有關鍵業務資料，對系統機密性與完整性造成極高危害。
二、 漏洞發生原因（eMudhra 中繼憑證弱金鑰事件引發之 TLS 信任鏈危機）
根據 OpenJDK 官方資安通報（2026-10-21）與資安研究機構分析，本次 Oracle 罕見在 10 月例行修補（CPU）隔天單獨發出緊急警報，主要是針對 eMudhra 憑證授權單位（CA）之 8 張中繼憑證（Intermediate CA）弱私鑰外洩事件 進行緊急封鎖：
-
該機構於金鑰生成過程中發生嚴重瑕疵，導致 8 張具備簽發網站 TLS 憑證權限的中繼 CA 私鑰僅為極小的整數（其中一張私鑰數值甚至僅為
4，其餘 7 張亦僅介於56至237之間，且部分金鑰已被公開於 GitHub）。 -
為何會危及您的 Java 伺服器： 由於未修補的 Java（JSSE）預設信任上述 8 張中繼憑證，攻擊者可利用已外洩的弱私鑰偽造任意網域（如金流閘道、外部 API 伺服器、微服務節點或套件儲存庫）的合法 TLS 憑證。當您的 Java 系統透過 HTTPS 與外部服務連線或接收 Web Services 資料時，攻擊者即可發動無感的中間人攻擊（MITM），攔截並竄改所有傳輸中的機敏資料。
三、 漏洞嚴重程度與資安評級（CVSS v3.1 9.1）
-
CVSS v3.1 評分： 9.1 分（Critical 嚴重等級），向量字串為
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N。 -
風險評估： 此漏洞可透過遠端網路直接觸發，攻擊複雜度低，一旦遭利用將導致企業核心資料庫、API 金鑰（Secrets/Tokens）與客戶機敏資訊完全曝險。
四、 LuckVM 平台應變狀態與客戶維運修補步驟
LuckVM 已同步全球 40+ 資料中心之作業系統套件庫。請貴公司 MIS 與開發團隊立即依循以下步驟完成修補：
1. 步驟一：建立雲端主機快照備份（Snapshot） 執行環境更新前，請先登入 LuckVM 會員主控台 建立最新 快照備份，確保系統具備即時回滾能力。
2. 步驟二：依 Java 部署架構套用安全修補程式
-
架構 A：採用 Linux 發行版內建套件管理員安裝之 OpenJDK（Ubuntu / Debian / RHEL / Rocky / AlmaLinux） Linux 發行版所提供的 OpenJDK 通常直接連結系統層級的憑證儲存庫（
ca-certificates）。請立即透過 SSH 執行系統更新以撤銷受影響之中繼憑證信任：-
Ubuntu / Debian：
apt update && apt install --only-upgrade ca-certificates openjdk* -y[cite: 10, 18]
-
RHEL / Rocky / AlmaLinux：
dnf update ca-certificates java-* -y[cite: 10, 18]
-
更新完成後，請務必重啟所有運行中的 Java 服務程序以重新載入憑證庫。
-
-
架構 B：獨立安裝之 Oracle Java SE / GraalVM / 手動解壓縮之 JDK 或 Windows 伺服器 獨立安裝的 Java 執行環境使用內建的
cacerts信任儲存庫，僅更新作業系統憑證無法消除風險。請立即套用 Oracle 官方針對CVE-2026-91403釋出的修補更新（例如 JDK 25 更新至25.0.5.0、JRE/JDK 1.8 更新至8.0.5110.32等對應修補編號，或升級至已合併 OpenJDK 撤銷修補22bc7357之最新發行版）。 -
架構 C：Docker 與 Kubernetes 容器化部署
請拉取已移除該 8 張 eMudhra 中繼憑證的最新 Java 基礎映像檔（Base Image），重新建置（Rebuild）並重新部署所有相關容器與 Pod。
3. 步驟三：網站憑證自查與異常連線監控
-
檢查自有網域 SSL 憑證： Google Chrome 將於 2026年10月27日 正式移除對
emSign ECC Root CA – G3根憑證的信任。若貴公司網站或 API 正在使用由該根憑證鏈結簽發的 TLS 憑證，請務必於 10月27日前更換為其他憑證機構（如 Let's Encrypt、DigiCert 等）簽發之憑證，避免用戶端瀏覽器出現連線阻斷。 -
檢視系統日誌与金鑰輪替： 請檢查 Java 應用程式與網路日誌（Logs）是否曾出現異常的 TLS/JSSE 錯誤或非預期的外部連線；若有疑慮，建議立即輪替（Rotate）Java 程序可存取的資料庫密碼與 API Token。
若您在規劃維護視窗、建立主控台快照或測試新版 JDK 相容性時需要協助，歡迎隨時透過 LuckVM 支援中心提交技術支援服務單。
LuckVM 資安與基礎架構維運團隊 敬上
