Případ eMudhra: dvě kritické zranitelnosti Javy během čtyř dnů

V předchozím článku jsme psali, proč čtvrtletní záplatování Javy přestává stačit. Říjen 2026 přinesl konkrétní příklad. Během pěti dnů vyšly tři aktualizace, z toho dvě mimořádné s hodnocením CVSS 9.1.

Co se stalo

Dne 20. října 2026 se zveřejnilo, že jsou kompromitované soukromé klíče osmi zprostředkujících certifikátů (intermediate CA) společnosti eMudhra. Klíče byly vygenerované chybně, takže je podle prohlášení Azul mohl z veřejných certifikátů odvodit kdokoli.

Certifikáty vedly ke kořenům, kterým důvěřovaly hlavní prohlížeče a operační systémy. Útočník s takovým klíčem by se podle komunitního přehledu incidentu mohl vydávat za libovolný web nebo službu. Apple, Google, Microsoft a Mozilla certifikáty zablokovali.

Proč se to týká i Javy

Java má vlastní úložiště důvěryhodných certifikátů a podle Azul ve výchozím nastavení nekontroluje odvolání certifikátů. To, že eMudhra certifikáty odvolala, proto běžícímu JDK samo o sobě nepomůže. Dokud se JDK neaktualizuje, může jim dál věřit.

OpenJDK kvůli tomu vydalo dvě bezpečnostní upozornění:

Pět dnů v říjnu

Termíny vydání aktualizací Azul podle přehledu Azul:

• 20. října: čtvrtletní security-only aktualizace do hodiny od zveřejnění, s rekordními 53 opravenými CVE.
• 21. října: první mimořádná oprava (CVE-2026-91403), do 24 hodin. Podle prohlášení Azul ji vydal pro Zulu buildy Javy 27, 25, 21, 17, 11, 8, 7 a 6 a pro Azul Prime 25, 21, 17, 11 a 8.
• 24. října: druhá mimořádná oprava (CVE-2026-114820).

Co udělat hned

Postup podle doporučení OpenJDK, kde najdete i přesné příkazy:

1. Ověřte stav. OpenJDK nabízí kontrolní program CheckCerts.java, který funguje na JDK 8 a novějších.
2. Aktualizujte runtime. To je preferovaná cesta. Poznámky k vydání by měly uvádět opravu JDK-8395690 a CVE-2026-114820. U Azulu to znamená build z 24. října nebo novější.
3. Nejde to hned? Dočasně lze z cacerts odstranit dotčené kořenové certifikáty, případně zapnout kontrolu odvolání. Azul ruční zásahy doporučuje jen jako krátkodobé řešení. Před změnou si zálohujte cacerts a poté restartujte běžící instance. Odstranění kořenů, mezi nimi i AAA Certificate Services, může přerušit spojení se službami, které na nich stojí, proto to nejdřív otestujte.
4. Debian a odvozené distribuce (včetně Ubuntu): samotná aktualizace balíčků s certifikáty nestačí, je potřeba ruční krok popsaný na stránce OpenJDK.

Nezapomeňte na Javu v kontejnerech, v aplikacích třetích stran a na build agentech. Přibalené JDK se při aktualizaci operačního systému nezmění.

Bylo to zneužito?

Ve zdrojích, které jsme procházeli, jsme zprávu o zneužití v praxi nenašli. Podle eMudhra se v produkci používal jen jeden z osmi certifikátů a žádný nevydal koncové certifikáty. Google podle prohlášení Azul nenašel v logech Certificate Transparency žádné certifikáty, které by k nim vedly.

To ale není důvod aktualizaci odkládat. Klíč si mohl odvodit kdokoli a komunitní přehled uvádí, že nelze vyloučit cílené útoky na klienty, kteří Certificate Transparency nevynucují.

Co z toho plyne pro patch cyklus

Největší problém nebyla samotná zranitelnost, ale načasování. Tým, který zrovna testoval říjnovou čtvrtletní aktualizaci, dostal během čtyř dnů další dvě. Pokud každá záplata znamená plnou regresní zkoušku, taková série se stihnout nedá.

Proto dává smysl oddělit bezpečnostní opravy od ostatních změn. Azul to řeší security-only aktualizacemi: mají podle Azul minimální riziko regrese, takže je lze nasadit rychle, a plné čtvrtletní aktualizace se mezitím testují v předprodukci. Čas nasazení ale nakonec závisí na vašem procesu. Pro srovnání: Verizon DBIR 2026 uvádí u zranitelností z katalogu KEV medián 43 dní do úplné nápravy.

Víte, kde v tom jste vy?

Na to, kolik JVM je ještě pod aktuální úrovní záplat, pomůže odpovědět bezplatný Java Security Assessment. Vychází z přehledu verzí Javy a jejich počtů, anonymně a bez jmen.

Vyžádejte si bezplatný assessment. Vše vyřídíte s námi.