javafix

Strumento di mitigazione temporanea tramite blocklist per la vulnerabilità dei certificati Java (CVE-2026-91403) — Windows / macOS

Individua tutte le installazioni Java presenti sul PC (launcher di Minecraft, launcher di mod, strumenti di sviluppo, JDK installati manualmente) e verifica se è stata applicata la mitigazione temporanea indicata da OpenJDK (aggiunta dei 16 certificati problematici alla blocklist). Se l'utente acconsente, aggiunge le voci mancanti. Se selezionato, esegue effettivamente ciascuna Java per verificare se i certificati contraffatti vengono davvero rifiutati.

Questo strumento non è una soluzione completa. Non aggiorna Java, non modifica il trust store (cacerts) e non abilita il controllo di revoca dei certificati. La soluzione definitiva è aggiornare Java e i launcher alle versioni corrette. Per i dettagli, leggi la sezione 3. Limiti di questo strumento.

È realizzato senza librerie esterne, usando solo la libreria standard di Rust, quindi leggendo le cartelle src/ e probe/ è possibile verificare tutto ciò che fa.

English: vedi English di seguito.

---

Indice

1. Di quale vulnerabilità si tratta?
2. Cosa fa questo strumento
3. Limiti di questo strumento
4. Download ed esecuzione
5. Sequenza della schermata di esecuzione
6. Significato delle indicazioni dei risultati
7. Verifica di connessione reale
8. Ripristino
9. Opzioni da riga di comando
10. Percorsi controllati
11. Domande frequenti
12. Compilazione manuale
13. Licenza

---

1. Di quale vulnerabilità si tratta?

Nell'ottobre 2026 è emerso che le chiavi private dei 8 certificati intermedi dell'autorità di certificazione eMudhra sono conoscibili da chiunque. Includendo anche i certificati con controfirma incrociata di Sectigo "AAA Certificate Services" con la stessa chiave, il totale è di 16.

Poiché le versioni di Java non corrette si fidano di questi certificati, se un attaccante si trova sulla stessa rete (ad esempio un Wi-Fi pubblico) può creare un certificato falso che impersona qualsiasi sito e Java lo accetterà come autentico. Ad esempio, può impersonare il server di login (sessione) di Minecraft o un server di download di mod.

La mitigazione indicata da OpenJDK è una delle tre seguenti.

Misura ufficiale	Questo strumento
Aggiornare Java a una versione corretta (secondo Oracle/OpenJDK: 25.0.5.0.2, 21.0.13.0.2, 17.0.21.0.2, 11.0.33.0.2, 8u511 o successive)	❌ Non eseguito (solo indicazione)
Bloccare i certificati problematici tramite blocked.certs (in Java 8 blacklisted.certs)	✅ Aggiunge i 16 certificati
Abilitare il controllo di revoca dei certificati (-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true)	❌ Non eseguito (motivo)

Riferimenti

• Avviso di sicurezza OpenJDK: https://openjdk.org/groups/vulnerability/advisories/2026-10-21
• Avviso di sicurezza Oracle: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• Elenco dei certificati e sito di test: https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. Cosa fa questo strumento

Fase	Contenuto	Internet
Controllo dei file	Per ogni Java trovato, legge i file lib/security/blocked.certs (per Java 8 blacklisted.certs) e release, e verifica se i 16 certificati sono presenti nella lista di blocco.	Non utilizzato
Controllo della connessione reale (opzionale)	Esegue effettivamente ogni Java e tenta la connessione a 2 siti di test e al server di sessione Mojang, verificando che i certificati contraffatti vengano rifiutati. Dettagli	Utilizzato solo in questa fase
Aggiunta alla lista di blocco	Aggiunge in fondo al file solo le impronte dei certificati mancanti. Non elimina né modifica le righe esistenti, e crea un backup dell'originale come blocked.certs.bak-cve-2026-91403. Dopo l'aggiunta, rilegge il file per verificare.	Non utilizzato
Ripristino	Copia il backup nella posizione originale.	Non utilizzato

• Consenso: prima del controllo, del controllo della connessione reale, dell'aggiunta alla lista di blocco e dell'uso dei privilegi di amministratore, è necessario inserire Y per ciascuno per procedere. Qualsiasi altro input equivale a "no".
• Registro: in Windows %LOCALAPPDATA%\JavaFix, in macOS ~/Library/Logs/JavaFix viene registrato cosa è stato controllato e modificato.
• Poiché vengono bloccati solo i 16 certificati problematici, non vi è alcun impatto sui normali siti web, sulla connessione a Minecraft o sul download di mod.

3. Limiti di questo strumento

• Non aggiorna Java. La lista di blocco è una misura temporanea e, se il launcher scarica nuovamente Java, potrebbe tornare allo stato originale.
• Non modifica il trust store (cacerts). Non viene toccato perché eliminare i certificati radice potrebbe bloccare anche i siti legittimi. (Ad esempio, Sectigo "AAA Certificate Services" è una radice utilizzata da molti siti legittimi.)
• Non abilita il controllo di revoca dei certificati (revocation). Se abilitato, a ogni connessione verrebbe interrogato il server della lista di revoca, e se quel server non fosse raggiungibile anche il login a Minecraft potrebbe fallire. Inoltre, questa impostazione deve essere inserita come opzione di avvio per ogni singolo programma, rendendo difficile un'applicazione uniforme.
• "Lista di blocco applicata" nel controllo dei file significa solo che i 16 certificati sono presenti nella lista di blocco, non che quel Java sia sicuro sotto ogni aspetto. Verifica il comportamento effettivo con il controllo della connessione reale.
• I siti di test del controllo della connessione reale verificano come rappresentanti la famiglia EM DV TLS CA - G3B (percorso eMudhra e percorso Sectigo) tra i 16. Gli altri certificati vengono bloccati allo stesso modo, ma non viene testata la connessione a ciascuno di essi.
• Poiché il programma non è firmato digitalmente né notarizzato da Apple, vengono visualizzati avvisi di Windows SmartScreen e macOS Gatekeeper.

4. Download ed esecuzione

Scarica il file adatto al tuo sistema operativo dalla pagina Releases.

운영체제	파일
Windows (대부분의 PC)	javafix-windows-x64.exe
Windows (ARM 노트북)	javafix-windows-arm64.exe
macOS (Intel / Apple Silicon 공통)	javafix-macos-universal.zip

Per verificare che il file scaricato sia l'originale, confrontalo con il valore in SHA256SUMS.

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

1. Fare doppio clic su javafix-windows-x64.exe.
2. Quando appare la finestra "Protezione PC di Windows", fai clic su Ulteriori informazioni → Esegui. Questo avviso compare perché il programma non dispone di un certificato di firma del codice.

macOS