OpenJDK 2026/10/21 安全公告：修复 CVE-2026-91403（javax.net.ssl）

OpenJDK 漏洞小组于 2026 年 10 月 21 日发布安全公告，称本轮在 OpenJDK 源码中修复了所列漏洞，并建议尽快升级。公告写明受影响版本包括 27.0.1、25.0.5、21.0.13、17.0.21、11.0.32.1、8u504 及更早版本；并注明 defense-in-depth 类问题不分配 CVE。当前与历史公告可在同一漏洞小组页面查阅，便于对照既往修复节奏。[1]

风险矩阵中，本轮 OpenJDK 条目为 CVE-2026-91403，组件为 security-libs/javax.net.ssl，CVSSv3.1 评分 9.1（公告所列表格向量写作 NLNNUHHN）。矩阵显示该条在 JDK 8、11、17、21、25、27 各列均标记为受影响，覆盖当前主流长期支持线与较新版本线。同日公告的 OpenJFX 风险矩阵未列出 CVE 条目。换言之，本轮公开编号漏洞落在 SSL 相关安全库组件，桌面/FX 侧矩阵为空。[1]

对用户的建议栏指向 OpenJDK 站点上的 eMudhra 相关说明页（openjdk.org/emudhra），供结合证书与运行时更新情况自行对照。公告致谢 JDK 8/11/17/21/25 Updates 与 OpenJFX 等项目负责人提供风险矩阵信息，并给出漏洞报告指引入口。页面标注最后更新时间为 2026/10/21 20:26 UTC（北京时间 2026年10月22日 04:26）。[1]

部署方应按所用发行版（各 Linux 发行商包、厂商 JDK、自建运行时等）核对应升级到的安全版本，优先安装已包含本公告修复的构建。多版本并存的环境需逐套核对，避免只升级其中一条发行线。具体补丁版本号、发行说明与临时缓解步骤以各 OpenJDK 提供商及官方建议页为准。本稿只转述公告中的编号、组件、评分与版本影响范围，不描述利用方式或复现步骤。[1]

说明：本稿仅转述官方公告中的 CVE 编号、组件、评分与版本影响范围；不含漏洞利用、PoC 或复现步骤。是否受影响及如何升级，以 OpenJDK 公告与所用厂商发行说明为准。

来源

[1] OpenJDK Vulnerability Advisory: 2026/10/21，OpenJDK Vulnerability Group，2026年10月21日。

#OpenJDK #安全公告 #CVE-2026-91403 #javax.net.ssl #Java