javafix

Tool zur temporären Eindämmung der Java-Zertifikatsschwachstelle (CVE-2026-91403) über eine Sperrliste — Windows / macOS

Es findet alle auf dem PC installierten Java-Installationen (Minecraft-Launcher, Mod-Launcher, Entwicklungswerkzeuge, selbst installierte JDKs) und prüft, ob die von OpenJDK empfohlene temporäre Maßnahme (Hinzufügen der 16 betroffenen Zertifikate zur Sperrliste) umgesetzt ist. Wenn der Benutzer zustimmt, werden fehlende Einträge hinzugefügt. Auf Wunsch wird jedes Java tatsächlich ausgeführt, um zu prüfen, ob ein gefälschtes Zertifikat wirklich abgelehnt wird.

Dieses Tool ist keine vollständige Lösung. Es aktualisiert Java nicht, repariert den Truststore (cacerts) nicht und aktiviert keine Zertifikatssperrprüfung. Die eigentliche Lösung besteht darin, Java und die Launcher auf korrigierte Versionen zu aktualisieren. Weitere Informationen finden Sie unter 3. Grenzen dieses Tools.

Es wurde ohne externe Bibliotheken nur mit der Rust-Standardbibliothek erstellt, sodass sich durch Lesen der Ordner src/ und probe/ alles nachvollziehen lässt, was es tut.

English: see English below.

---

Inhaltsverzeichnis

1. Um welche Schwachstelle handelt es sich?
2. Was dieses Tool tut
3. Grenzen dieses Tools
4. Download und Ausführung
5. Ablauf der Ausführungsbildschirme
6. Bedeutung der Ergebnisanzeige
7. Tatsächlicher Verbindungstest
8. Rückgängig machen
9. Kommandozeilenoptionen
10. Geprüfte Speicherorte
11. Häufig gestellte Fragen
12. Selbst erstellen
13. Lizenz

---

1. Um welche Schwachstelle handelt es sich?

Im Oktober 2026 wurde bekannt, dass die privaten Schlüssel von 8 Zwischenzertifikaten der Zertifizierungsstelle eMudhra für jeden ermittelbar sind. Zählt man die Zertifikate hinzu, die mit demselben Schlüssel von Sectigo „AAA Certificate Services" gegengezeichnet wurden, sind es insgesamt 16.

Da nicht aktualisierte Java-Versionen diesen Zertifikaten vertrauen, kann ein Angreifer, der sich im selben Netzwerk befindet (z. B. in einem öffentlichen WLAN), gefälschte Zertifikate für beliebige Websites erstellen, und Java akzeptiert sie als echt. Beispielsweise kann er sich als Minecraft-Login-(Session-)Server oder als Mod-Download-Server ausgeben.

Die von OpenJDK empfohlene Maßnahme ist eine der folgenden drei.

Offizielle Maßnahme	Dieses Tool
Java auf eine korrigierte Version aktualisieren (laut Oracle/OpenJDK 25.0.5.0.2, 21.0.13.0.2, 17.0.21.0.2, 11.0.33.0.2, 8u511 oder höher)	❌ Wird nicht durchgeführt (nur Hinweis)
Die betroffenen Zertifikate über blocked.certs (bei Java 8 blacklisted.certs) sperren	✅ 16 Einträge hinzufügen
Zertifikatssperrprüfung aktivieren (-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true)	❌ Wird nicht durchgeführt (Grund)

Referenzen

• OpenJDK-Sicherheitshinweis: https://openjdk.org/groups/vulnerability/advisories/2026-10-21
• Oracle-Sicherheitswarnung: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• Zertifikatliste und Testseite: https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. Was dieses Tool tut

Schritt	Inhalt	Internet
Dateiprüfung	Für jedes gefundene Java werden lib/security/blocked.certs (bei Java 8 blacklisted.certs) und die Datei release gelesen, um zu prüfen, ob die 16 Einträge in der Sperrliste stehen.	Wird nicht verwendet
Tatsächliche Verbindungsprüfung (optional)	Jedes Java wird tatsächlich ausgeführt, um zwei Testseiten und den Mojang-Sitzungsserver zu kontaktieren und zu prüfen, ob das gefälschte Zertifikat abgelehnt wird. Details	Nur dieser Schritt wird verwendet
Sperrliste ergänzen	Nur die fehlenden Zertifikatsfingerabdrücke werden am Dateiende angehängt. Bestehende Zeilen werden weder gelöscht noch geändert, und das Original wird als blocked.certs.bak-cve-2026-91403 gesichert. Nach dem Anhängen wird die Datei erneut gelesen und überprüft.	Wird nicht verwendet
Rückgängig machen	Die Sicherung wird an den ursprünglichen Ort kopiert.	Wird nicht verwendet

• Zustimmung: Vor der Prüfung, der tatsächlichen Verbindungsprüfung, dem Ergänzen der Sperrliste und der Verwendung von Administratorrechten muss jeweils Y eingegeben werden, um fortzufahren. Jede andere Eingabe bedeutet "Nein".
• Protokollierung: Unter Windows in %LOCALAPPDATA%\JavaFix, unter macOS in ~/Library/Logs/JavaFix wird festgehalten, was geprüft und geändert wurde.
• Da nur die 16 betroffenen Zertifikate gesperrt werden, gibt es keine Auswirkungen auf normale Websites, die Verbindung zu Minecraft oder den Download von Mods.

3. Grenzen dieses Tools

• Java wird nicht aktualisiert. Die Sperrliste ist eine vorübergehende Maßnahme, und wenn der Launcher Java erneut herunterlädt, kann alles wieder in den ursprünglichen Zustand zurückversetzt werden.
• Der Vertrauensspeicher (cacerts) wird nicht verändert. Das Löschen von Root-Zertifikaten könnte auch normale Websites blockieren, daher wird er nicht angefasst. (Beispiel: Sectigo "AAA Certificate Services" ist ein Root-Zertifikat, das von vielen normalen Websites verwendet wird.)
• Die Zertifikatssperrprüfung (revocation) wird nicht aktiviert. Wenn sie aktiviert wird, muss bei jeder Verbindung ein Sperrlistenserver gefragt werden, und wenn dieser Server nicht erreichbar ist, kann sogar die Anmeldung bei Minecraft fehlschlagen. Außerdem muss diese Einstellung bei jedem Programm als Startoption angegeben werden, was eine einheitliche Anwendung schwierig macht.
• "Sperrliste angewendet" bei der Dateiprüfung bedeutet nur, dass die 16 Einträge in der Sperrliste enthalten sind, nicht, dass dieses Java in jeder Hinsicht sicher ist. Das tatsächliche Verhalten prüfen Sie bitte mit der tatsächlichen Verbindungsprüfung.
• Die Testseite der tatsächlichen Verbindungsprüfung prüft von den 16 Zertifikaten stellvertretend die EM DV TLS CA - G3B-Familie (eMudhra-Pfad und Sectigo-Pfad). Die übrigen Zertifikate werden auf dieselbe Weise gesperrt und daher ebenfalls blockiert, es wird jedoch nicht jede einzelne Verbindung getestet.
• Da das Programm nicht codesigniert und von Apple notarisiert ist, erscheinen Warnungen von Windows SmartScreen und macOS Gatekeeper.

4. Download und Ausführung

Laden Sie auf der Seite Releases die für Ihr Betriebssystem passende Datei herunter.

Betriebssystem	Datei
Windows (die meisten PCs)	javafix-windows-x64.exe
Windows (ARM-Notebooks)	javafix-windows-arm64.exe
macOS (Intel / Apple Silicon gemeinsam)	javafix-macos-universal.zip

Um zu prüfen, ob die erhaltene Datei original ist, vergleichen Sie sie mit dem Wert in SHA256SUMS.

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

1. Doppelklicken Sie auf javafix-windows-x64.exe.
2. Wenn das Fenster „Windows hat Ihren PC geschützt" erscheint, klicken Sie auf Weitere Informationen → Trotzdem ausführen. Diese Warnung erscheint, weil das Programm kein Code-Signaturzertifikat besitzt.

macOS