javafix

Outil de contournement temporaire par liste de blocage pour la vulnérabilité des certificats Java (CVE-2026-91403) — Windows / macOS

Il recherche toutes les installations de Java présentes sur le PC (lanceur Minecraft, lanceurs de mods, outils de développement, JDK installés manuellement) et vérifie si la mesure temporaire recommandée par OpenJDK (ajout des 16 certificats concernés à la liste de blocage) est en place. Si l'utilisateur donne son accord, il ajoute les entrées manquantes. En option, il exécute réellement chaque Java pour vérifier si les certificats usurpés sont effectivement rejetés.

Cet outil n'est pas une solution complète. Il ne met pas à jour Java, ne modifie pas le magasin de confiance (cacerts) et n'active pas la vérification de révocation des certificats. La solution définitive consiste à mettre à jour Java et les lanceurs vers des versions corrigées. Pour plus de détails, lisez la section 3. Limites de cet outil.

Il est conçu uniquement avec la bibliothèque standard de Rust, sans dépendance externe : il suffit de lire les dossiers src/ et probe/ pour vérifier tout ce qu'il fait.

English: see English below.

---

Table des matières

1. De quelle vulnérabilité s'agit-il ?
2. Ce que fait cet outil
3. Limites de cet outil
4. Téléchargement et exécution
5. Déroulement de l'écran d'exécution
6. Signification des indicateurs de résultat
7. Test de connexion réel
8. Annulation
9. Options de ligne de commande
10. Emplacements inspectés
11. Questions fréquentes
12. Compiler soi-même
13. Licence

---

1. De quelle vulnérabilité s'agit-il ?

En octobre 2026, il a été révélé que les clés privées des 8 certificats intermédiaires de l'autorité de certification eMudhra pouvaient être découvertes par n'importe qui. En y ajoutant les certificats contre-signés par Sectigo « AAA Certificate Services » avec la même clé, cela fait 16 au total.

Comme les versions de Java non corrigées font confiance à ces certificats, un attaquant présent sur le même réseau (Wi-Fi public, etc.) peut créer un faux certificat usurpant n'importe quel site, et Java l'acceptera comme authentique. Il peut par exemple usurper le serveur de connexion (session) de Minecraft ou un serveur de téléchargement de mods.

La mesure recommandée par OpenJDK est l'une des trois suivantes.

Mesure officielle	Cet outil
Mettre à jour Java vers une version corrigée (selon Oracle/OpenJDK : 25.0.5.0.2, 21.0.13.0.2, 17.0.21.0.2, 11.0.33.0.2, 8u511 ou supérieur)	❌ Non effectué (simple indication)
Bloquer les certificats concernés via blocked.certs (blacklisted.certs pour Java 8)	✅ Ajout des 16
Activer la vérification de révocation des certificats (-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true)	❌ Non effectué (raison)

Références

• Avis de sécurité OpenJDK : https://openjdk.org/groups/vulnerability/advisories/2026-10-21
• Alerte de sécurité Oracle : https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• Liste des certificats et site de test : https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. Ce que fait cet outil

Étape	Contenu	Internet
Inspection des fichiers	Pour chaque Java trouvé, lire les fichiers lib/security/blocked.certs (pour Java 8 : blacklisted.certs) et release, et vérifier si les 16 certificats figurent dans la liste de blocage.	Non utilisé
Test de connexion réelle (facultatif)	Exécuter réellement chaque Java pour se connecter à 2 sites de test et au serveur de session Mojang, et vérifier que le certificat usurpé est rejeté. Détails	Utilisé uniquement pour cette étape
Ajout à la liste de blocage	Ajouter à la fin du fichier uniquement les empreintes de certificats manquantes. Les lignes existantes ne sont ni supprimées ni modifiées, et l'original est sauvegardé sous blocked.certs.bak-cve-2026-91403. Après l'ajout, le fichier est relu pour vérification.	Non utilisé
Restauration	Copier la sauvegarde à son emplacement d'origine.	Non utilisé

• Consentement : avant l'inspection, le test de connexion réelle, l'ajout à la liste de blocage et l'utilisation des droits administrateur, il faut saisir Y à chaque fois pour continuer. Toute autre saisie vaut « non ».
• Journal : ce qui a été inspecté et modifié est consigné dans %LOCALAPPDATA%\JavaFix sous Windows et dans ~/Library/Logs/JavaFix sous macOS.
• Seuls les 16 certificats problématiques sont bloqués, donc cela n'affecte pas les sites web ordinaires, la connexion à Minecraft ni le téléchargement de mods.

3. Limites de cet outil

• Il ne met pas à jour Java. La liste de blocage est une mesure temporaire, et si le lanceur retélécharge Java, tout peut revenir à l'état d'origine.
• Il ne modifie pas le magasin de confiance (cacerts). Supprimer des certificats racine pourrait bloquer des sites légitimes, c'est pourquoi il n'y touche pas. (Par exemple, « AAA Certificate Services » de Sectigo est une racine utilisée par de nombreux sites légitimes.)
• Il n'active pas la vérification de révocation des certificats. Si elle est activée, chaque connexion interroge le serveur de liste de révocation, et si ce serveur est inaccessible, la connexion à Minecraft peut elle aussi échouer. De plus, ce réglage doit être ajouté en option de lancement pour chaque programme, ce qui rend son application globale difficile.
• « Application de la liste de blocage » lors de l'inspection des fichiers signifie seulement que les 16 certificats figurent dans la liste de blocage, et non que ce Java est sûr à tous égards. Vérifiez le comportement réel avec le test de connexion réelle.
• Les sites de test du test de connexion réelle vérifient de manière représentative la famille EM DV TLS CA - G3B (chaîne eMudhra et chaîne Sectigo) parmi les 16. Les autres certificats sont bloqués de la même manière, mais ils ne sont pas testés un par un par connexion.
• Comme le programme n'est pas signé par code ni notarié par Apple, des avertissements Windows SmartScreen et macOS Gatekeeper s'affichent.

4. Téléchargement et exécution

Téléchargez le fichier correspondant à votre système d'exploitation depuis la page Releases.

Système d'exploitation	Fichier
Windows (la plupart des PC)	javafix-windows-x64.exe
Windows (ordinateurs portables ARM)	javafix-windows-arm64.exe
macOS (Intel / Apple Silicon commun)	javafix-macos-universal.zip

Pour vérifier que le fichier téléchargé est l'original, comparez-le avec la valeur de SHA256SUMS.

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

1. Double-cliquez sur javafix-windows-x64.exe.
2. Si la fenêtre « Protection de votre PC Windows » apparaît, cliquez sur Informations complémentaires → Exécuter. Cet avertissement s'affiche car le programme ne dispose pas de certificat de signature de code.

macOS