Oracle baru saja merilis peringatan keamanan darurat untuk menambal celah kritis (CVE-2026-91403) pada ekosistem Java. Dengan skor bahaya (CVSS) mencapai 9.1, kerentanan ini memungkinkan peretas melakukan eksploitasi dari jarak jauh tanpa memerlukan proses autentikasi ( Remote Exploit without Authentication ).
Apa yang Terjadi?#
Akar masalah terletak pada komponen JSSE (Java Secure Socket Extension). Kerentanan ini berpusat pada kegagalan sistem dalam memblokir sertifikat Certificate Authority (CA) perantara dari eMudhra yang sudah tidak dipercaya (distrusted).
JSSE bertanggung jawab mengamankan komunikasi data melalui jaringan (seperti HTTPS/TLS). Karena sertifikat bermasalah tersebut masih dianggap valid oleh sistem Java yang rentan, peretas dapat mencegat, memanipulasi, atau memalsukan koneksi jaringan yang seharusnya aman. Hal ini sangat berdampak pada kerahasiaan (Confidentiality) dan integritas (Integrity) data.
Siapa yang Terdampak?#
Kerentanan ini berdampak luas pada berbagai versi Java, termasuk yang berjalan di server maupun aplikasi client-side (seperti sandboxed Java Web Start). Produk yang terdampak meliputi:
- Oracle GraalVM Enterprise Edition, Versi
21.3.20 - Oracle GraalVM for JDK, Versi
17.0.21dan21.0.13 - Oracle Java SE, Versi 8u511,
11.0.33,17.0.21,21.0.13,25.0.5, dan27.0.1
Langkah Mitigasi#
Satu-satunya solusi yang paling direkomendasikan adalah segera memperbarui versi Java ke patch terbaru yang disediakan Oracle. Pembaruan ini akan secara otomatis memperbarui basis data sertifikat Java (truststore) untuk mencabut kepercayaan (distrust) terhadap set sertifikat eMudhra yang bermasalah, sehingga komunikasi jaringan kembali aman.
Sudahkah Kalian Update Java Hari Ini?#
Cek versi Java Anda saat ini dengan perintah berikut:
java -version
