Java oktoobri 2026 uuendus ja CVE-2026-91403: kuidas paigata iga JVM

Javale ilmus kahe päeva jooksul kaks turvaväljalaset. 20. oktoobril 2026 parandas Oracle’i kvartaalne kriitiline paikamisuuendus (Critical Patch Update) Java SE-s 55 haavatavust, millest 49 saab ära kasutada üle võrgu ilma sisselogimiseta. 21. oktoobril avaldas Oracle erakorralise turvahoiatuse (Security Alert) CVE-2026-91403 kohta. See on viga Java TLS-i teostuses (JSSE) CVSS-skooriga 9.1 ja mõjutatud versioonide hulgas on ka eelmisel päeval avaldatud versioonid. Jaapani IPA hoiatas 21. oktoobril, et ärakasutamine võib rakendused kokku jooksutada või lasta ründajal arvuti üle kontrolli võtta. See juhend näitab, millistele versioonidele üle minna, kuidas leida iga teie kasutatav Java käituskeskkond ja kuidas kontrollida, et uuendus on tõesti kasutusel.

Mida parandati 20. oktoobril

Oktoobri kriitiline paikamisuuendus mõjutab Oracle Java SE versioone 27, 26.0.2, 25.0.4.1, 21.0.12.1, 17.0.20.1, 11.0.32.1 ja 8u503 ning seega ka kõiki nende versioonide vanemaid uuendusi. Ühtegi 55 Java parandusest ei ole hinnatud kriitiliseks, kuid 49 saab ära kasutada kaugelt ilma autentimiseta.

Java 26 parandust ei saanud: selle uuendused lõppesid septembris 2026. Kui kasutate endiselt versiooni 26, minge üle versioonile 27 või pikaajalise toega väljalaskele 25.

CVE-2026-91403: ka uued versioonid on haavatavad

CVE-2026-91403 asub JSSE-s, Java osas, mis haldab TLS-ühendusi. Oracle’i sõnul on seda lihtne ära kasutada, see ei vaja kontot ega kasutaja tegevust ning sellele pääseb ligi üle võrgu mitme protokolli kaudu, näiteks veebiteenuse kaudu, mis edastab andmeid mõjutatud API-dele. Edukas rünnak võib lugeda ja muuta kriitilisi andmeid (CVSS 9.1, AV:N/AC:L/PR:N/UI:N, suur mõju konfidentsiaalsusele ja terviklusele).

Mõjutatud on täpselt 20. oktoobri versioonid: Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 ja 27.0.1, samuti GraalVM for JDK 17.0.21 ja 21.0.13 ning GraalVM Enterprise 21.3.20. Seega ei kaitse oktoobri uuendus üksi teid selle vea eest.

Oracle JDK paranduse teeb Oracle kättesaadavaks turvahoiatuses nimetatud paikamisdokumendi kaudu klientidele, kellel on juurdepääs My Oracle Supportile. Selle kirjutamise ajal ei ole Oracle’i avalikel lehtedel selle jaoks veel uusi versiooninumbreid ja Oracle ei ole öelnud, kas viga juba rünnakutes ära kasutatakse. OpenJDK projekt avaldas 21. oktoobril oma teadaande, nii et OpenJDK-l põhinevad järgud (Eclipse Temurin, Amazon Corretto, Azul Zulu, Red Hat ja Linuxi distributsioonide paketid) saavad parandused nendelt tarnijatelt. Kontrollige oma tarnija turvalehte ja paigaldage esimene väljalase, mis nimetab CVE-2026-91403. Uuendame seda artiklit, kui avalikud versiooninumbrid on saadaval.

Samm 1: leidke iga Java käituskeskkond

java -version näitab ainult seda Javat, mis on teie PATH-is. Serverites töötab sageli mitu: üks rakendusega kaasas, üks konteineris, üks aastaid tagasi kausta /opt paigaldatud.

Linuxis loetlege iga Java käivitusfail koos versiooniga:

sudo find / -xdev -type f -name java -perm -u+x 2>/dev/null | while read -r j; do echo "$j: $("$j" -version 2>&1 | head -n 1)"; done

Vaadake, millist Javat töötavad protsessid tegelikult kasutavad:

for p in $(pgrep -f java); do echo "$p $(sudo readlink -f /proc/$p/exe)"; done

Dockeris kontrollige iga töötava konteineri Java versiooni:

for c in $(docker ps --format '{{.Names}}'); do echo "$c: $(docker exec "$c" java -version 2>&1 | head -n 1)"; done

Windowsis, PowerShellis:

Get-ChildItem 'C:\Program Files','C:\Program Files (x86)' -Recurse -Filter java.exe -ErrorAction SilentlyContinue | ForEach-Object { "$($_.FullName): $((& $_.FullName -version 2>&1 | Select-Object -First 1))" }

Ärge unustage tarkvara, mis toob kaasa oma Java, näiteks Jenkins, Elasticsearch, Keycloak, Atlassiani tooted, Tomcati komplektid, ehitusagendid ja mänguserverid.

Samm 2: uuendage

Ubuntu ja Debian (OpenJDK paketid):

sudo apt update && apt list --upgradable 2>/dev/null | grep -i jdk
sudo apt install --only-upgrade 'openjdk-*'

Red Hat, Rocky, AlmaLinux ja Fedora:

sudo dnf upgrade 'java-*-openjdk*'

Oracle JDK: paigaldage Oracle’i allalaadimislehelt oma versiooni oktoobri väljalase ja seejärel võimalikult kiiresti CVE-2026-91403 paik My Oracle Supportist. Kontrollige esmalt litsentsi: alates versioonist 21.0.13 ei kehti Oracle JDK 21 uuendustele enam tasuta No-Fee Terms and Conditions tingimused ja äriline kasutamine võib nõuda tasulist tellimust. Teiste OpenJDK järkude, näiteks Temurini või Corretto puhul paigaldage tarnija uusim väljalase.

Konteinerid: uuendus hostis ei muuda konteinerit. Tõmmake uuendatud baastõmmis, ehitage oma tõmmised uuesti ja juurutage need uuesti.

Samm 3: taaskäivitage ja kontrollige

Java laadib oma koodi käivitumisel, nii et töötav teenus kasutab vana versiooni seni, kuni see taaskäivitatakse. Pärast paketiuuendust Linuxis loetleb see käsk Java protsessid, mis kasutavad endiselt asendatud faile:

sudo ls -l /proc/*/exe 2>/dev/null | grep -i 'java.*(deleted)'

Taaskäivitage need teenused, käivitage uuesti 1. sammu käsud ja võrrelge versioone ülaltoodud tabeliga.

Kuni CVE-2026-91403 parandus on paigaldatud

• Laske Java teenustele üle võrgu ligi ainult süsteemidel, mis seda vajavad, eriti teenustele, mis võtavad internetist vastu TLS-ühendusi.
• Võimaluse korral lõpetage TLS-ühendused Java teenuse ees, näiteks pöördpuhverserveris (reverse proxy), et JSSE-ni jõuaks vähem usaldamatuid TLS-ühendusi. See vähendab ohtu, kuid ei asenda parandust.
• Jälgige internetile avatud Java teenuste logides ebatavalisi TLS-vigu ja kokkujooksmisi ning hoidke varukoopiad valmis.

Mis edasi

Oracle on viinud Java üle sagedasematele turvaväljalasetele. Järgmine, kriitiline turvapaikamisuuendus (Critical Security Patch Update), on kavandatud 17. novembriks 2026 ja järgmine kvartaalne kriitiline paikamisuuendus 19. jaanuariks 2027. Pange mõlemad kuupäevad kalendrisse ja korrake iga kord ülaltoodud kolme sammu.

Kui te ei ole kindel, millised teie süsteemid Javat kasutavad, või kui Java teenust võidi juba rünnata, saavad aidata meie hallatud turbe ja intsidentidele reageerimise meeskonnad.