javafix

أداة معالجة مؤقتة بأسلوب قائمة الحظر لثغرة شهادات Java (CVE-2026-91403) — Windows / macOS

تبحث عن جميع نسخ Java المثبّتة على جهاز الكمبيوتر (مشغّل Minecraft، ومشغّلات المودات، وأدوات التطوير، وJDK المثبّتة يدويًا)، وتتحقق مما إذا كان الإجراء المؤقت الذي أوصى به OpenJDK (إضافة الشهادات الـ16 المعنية إلى قائمة الحظر) مطبّقًا أم لا. وإذا وافق المستخدم، تضيف العناصر الناقصة. وعند الاختيار، تشغّل كل نسخة Java فعليًا لتفحص ما إذا كانت الشهادات المتنكّرة مرفوضة فعلًا.

هذه الأداة ليست حلًا كاملًا. فهي لا تحدّث Java، ولا تصلح مخزن الثقة (cacerts)، ولا تفعّل فحص إبطال الشهادات. الحل الجذري هو تحديث Java والمشغّلات إلى إصدارات مصحّحة. لمزيد من التفاصيل، يُرجى قراءة 3. حدود هذه الأداة.

صُنعت باستخدام مكتبة Rust القياسية فقط دون أي مكتبات خارجية، لذا يكفي قراءة مجلدَي src/ وprobe/ للتحقق من كل ما تفعله.

English: see English below.

---

جدول المحتويات

1. ما هي هذه الثغرة؟
2. ما الذي تفعله هذه الأداة
3. حدود هذه الأداة
4. التنزيل والتشغيل
5. تسلسل شاشة التشغيل
6. معنى عرض النتائج
7. فحص الاتصال الفعلي
8. التراجع
9. خيارات سطر الأوامر
10. مواقع الفحص
11. الأسئلة الشائعة
12. البناء يدويًا
13. الترخيص

---

1. ما هي هذه الثغرة؟

في أكتوبر 2026، اتضح أن المفاتيح الخاصة لـ8 شهادات وسيطة الصادرة عن جهة إصدار الشهادات eMudhra يمكن لأي شخص معرفتها. وإذا أضفنا الشهادات التي وقّعتها Sectigo "AAA Certificate Services" بتوقيع متقاطع باستخدام المفتاح نفسه، يصبح المجموع 16 شهادة.

ولأن نسخ Java غير المصحّحة تثق بهذه الشهادات، فإنه إذا كان المهاجم على الشبكة نفسها (مثل Wi-Fi عام) يمكنه إنشاء شهادة مزيفة تنتحل أي موقع وستقبلها Java على أنها حقيقية. فعلى سبيل المثال، يمكنه انتحال خادم تسجيل الدخول (الجلسة) في Minecraft أو خادم تنزيل المودات.

الإجراء الذي أوصى به OpenJDK هو أحد الخيارات الثلاثة التالية.

الإجراء الرسمي	هذه الأداة
تحديث Java إلى إصدار مصحّح (وفقًا لـ Oracle/OpenJDK: 25.0.5.0.2، 21.0.13.0.2، 17.0.21.0.2، 11.0.33.0.2، 8u511 أو أحدث)	❌ لا تفعل (إرشاد فقط)
حظر الشهادات المعنية عبر blocked.certs (في Java 8: blacklisted.certs)	✅ إضافة 16 شهادة
تفعيل فحص إبطال الشهادات (-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true)	❌ لا تفعل (السبب)

مراجع

• إشعار أمان OpenJDK: https://openjdk.org/groups/vulnerability/advisories/2026-10-21
• تنبيه أمان Oracle: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• قائمة الشهادات وموقع الاختبار: https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. ما الذي تفعله هذه الأداة

المرحلة	المحتوى	الإنترنت
فحص الملفات	يقرأ لكل Java تم العثور عليه ملف lib/security/blocked.certs (وفي Java 8: blacklisted.certs) وملف release، ويتحقق مما إذا كانت الشهادات الـ16 موجودة في قائمة الحظر.	لا يُستخدم
فحص الاتصال الفعلي (اختياري)	يشغّل كل Java فعليًا ويحاول الاتصال بموقعي اختبار وبخادم جلسات Mojang، ويتحقق مما إذا كانت الشهادة المزيفة مرفوضة. بالتفصيل	هذه المرحلة فقط تستخدمه
إضافة قائمة الحظر	يضيف في نهاية الملف بصمات الشهادات الناقصة فقط. لا يحذف الأسطر الموجودة أو يعدّلها، ويُنشئ نسخة احتياطية من الأصل باسم blocked.certs.bak-cve-2026-91403. وبعد الإضافة يعيد قراءة الملف للتحقق.	لا يُستخدم
التراجع	ينسخ النسخة الاحتياطية إلى مكانها الأصلي.	لا يُستخدم

• الموافقة: يجب إدخال Y قبل كل من الفحص، وفحص الاتصال الفعلي، وإضافة قائمة الحظر، واستخدام صلاحيات المسؤول للمتابعة. أي إدخال آخر يعني "لا".
• السجل: يُسجَّل في Windows ضمن %LOCALAPPDATA%\JavaFix، وفي macOS ضمن ~/Library/Logs/JavaFix ما تم فحصه وتغييره.
• الشيء الوحيد المحظور هو الشهادات الـ16 المعنية، لذا لا تأثير على المواقع العادية أو الاتصال بـ Minecraft أو تنزيل المودات.

3. حدود هذه الأداة

• لا تحدّث Java. قائمة الحظر إجراء مؤقت، وإذا أعاد المشغّل تنزيل Java فقد يعود الوضع كما كان.
• لا تعدّل مخزن الثقة (cacerts). حذف شهادات الجذر قد يؤدي إلى حظر مواقع سليمة أيضًا، لذا لا تُمَس. (مثال: Sectigo "AAA Certificate Services" هي شهادة جذر تستخدمها مواقع سليمة كثيرة.)
• لا تفعّل فحص إبطال الشهادات (revocation). تفعيله يعني الاستعلام من خادم قائمة الإبطال عند كل اتصال، وإذا تعذّر الوصول إلى ذلك الخادم فقد يفشل حتى تسجيل الدخول إلى Minecraft. كما أن هذا الإعداد يجب إضافته كخيار تشغيل لكل برنامج على حدة، لذا يصعب تطبيقه دفعة واحدة.
• "تطبيق قائمة الحظر" في فحص الملفات يعني فقط أن الشهادات الـ16 موجودة في قائمة الحظر، وليس أن تلك Java آمنة من كل النواحي. تحقق من السلوك الفعلي عبر فحص الاتصال الفعلي.
• مواقع الاختبار في فحص الاتصال الفعلي تتحقق بشكل تمثيلي من سلسلة EM DV TLS CA - G3B (مسار eMudhra ومسار Sectigo) من بين الـ16. الشهادات الأخرى تُحظر بنفس الطريقة معها، لكن لا يتم الاتصال بكل واحدة منها على حدة.
• لأن البرنامج غير موقّع بالكود وغير مصدّق من Apple، تظهر تحذيرات Windows SmartScreen وmacOS Gatekeeper.

4. التنزيل والتشغيل

نزّل الملف المناسب لنظام التشغيل من صفحة Releases.

نظام التشغيل	الملف
Windows (معظم أجهزة الكمبيوتر)	javafix-windows-x64.exe
Windows (أجهزة الحاسوب المحمولة ARM)	javafix-windows-arm64.exe
macOS (Intel / Apple Silicon مشترك)	javafix-macos-universal.zip

للتحقق من أن الملف الذي نزّلته هو الأصل، قارن قيمته مع القيمة في SHA256SUMS.

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

1. انقر نقرًا مزدوجًا على javafix-windows-x64.exe.
2. عند ظهور نافذة "حماية الكمبيوتر في Windows"، اضغط على مزيد من المعلومات ← تشغيل. هذا التحذير يظهر لأن البرنامج لا يملك شهادة توقيع كود.

macOS

1. نزّل javafix-macos-universal.zip وفك ضغطه (يقوم Safari بفك الضغط تلقائيًا). سيُنشأ مجلد javafix-macos.
2. انقر نقرًا مزدوجًا على javafix.command داخل المجلد، وسيُفتح الطرفية ويبدأ التشغيل.
3. بما أن البرنامج لم يحصل على تصديق Apple (notarization)، سيظهر في البداية تحذير "مطوّر غير موثّق".
   • macOS 15 (Sequoia) أو أحدث: أغلق نافذة التحذير واضغط على "فتح على أي حال" في أسفل إعدادات النظام ← الخصوصية والأمان، ثم انقر نقرًا مزدوجًا مرة أخرى.
   • macOS 14 أو أقدم: انقر بالزر الأيمن ← فتح ← فتح على javafix.command.

للتشغيل مباشرة من الطرفية:

cd ~/Downloads/javafix-macos
xattr -d com.apple.quarantine javafix.command
./javafix.command

ملف javafix-macos-universal غير المضغوط في v0.1.0 يفقد صلاحية التنفيذ عند تنزيله، لذا عند النقر المزدوج عليه يعرض محرر النصوص خطأ "تشفير النص Unicode (UTF-8) غير مطبّق". بدءًا من v0.1.1 نوزّعه كملف zip.

5. ترتيب شاشات التشغيل