javafix

Ferramenta de mitigação temporária por lista de bloqueio para a vulnerabilidade de certificados Java (CVE-2026-91403) — Windows / macOS

Localiza todos os Java instalados no PC (launcher do Minecraft, launchers de mods, ferramentas de desenvolvimento, JDKs instalados manualmente) e verifica se a medida provisória indicada pelo OpenJDK (adição dos 16 certificados problemáticos à lista de bloqueio) está aplicada. Caso o usuário concorde, adiciona os itens ausentes. Se selecionado, também executa cada Java de fato para verificar se os certificados falsificados são realmente rejeitados.

Esta ferramenta não é uma solução completa. Ela não atualiza o Java, não corrige o repositório de confiança (cacerts) e não ativa a verificação de revogação de certificados. A solução definitiva é atualizar o Java e os launchers para versões corrigidas. Para mais detalhes, leia 3. Limitações desta ferramenta.

Foi construída apenas com a biblioteca padrão do Rust, sem bibliotecas externas, de modo que basta ler as pastas src/ e probe/ para conferir tudo o que ela faz.

English: see English below.

---

Índice

1. Qual é a vulnerabilidade?
2. O que esta ferramenta faz
3. Limitações desta ferramenta
4. Download e execução
5. Sequência da tela de execução
6. Significado da exibição dos resultados
7. Verificação de conexão real
8. Reverter alterações
9. Opções de linha de comando
10. Locais verificados
11. Perguntas frequentes
12. Compilar manualmente
13. Licença

---

1. Qual é a vulnerabilidade?

Em outubro de 2026, foi revelado que as chaves privadas de 8 certificados intermediários da autoridade certificadora eMudhra podem ser descobertas por qualquer pessoa. Somando os certificados assinados de forma cruzada pela Sectigo "AAA Certificate Services" com a mesma chave, o total chega a 16 certificados.

Como o Java não corrigido confia nesses certificados, se um atacante estiver na mesma rede (Wi-Fi público etc.), ele pode criar certificados falsos se passando por qualquer site, e o Java os aceitará como genuínos. Por exemplo, é possível se passar pelo servidor de login (sessão) do Minecraft ou por um servidor de download de mods.

A medida indicada pelo OpenJDK é uma das três abaixo.

Medida oficial	Esta ferramenta
Atualizar o Java para uma versão corrigida (conforme Oracle/OpenJDK: 25.0.5.0.2, 21.0.13.0.2, 17.0.21.0.2, 11.0.33.0.2, 8u511 ou superior)	❌ Não faz (apenas orienta)
Bloquear os certificados problemáticos via blocked.certs (blacklisted.certs no Java 8)	✅ Adiciona os 16
Ativar a verificação de revogação de certificados (-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true)	❌ Não faz (motivo)

Referências

• Aviso de segurança do OpenJDK: https://openjdk.org/groups/vulnerability/advisories/2026-10-21
• Alerta de segurança da Oracle: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
• Lista de certificados e site de teste: https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. O que esta ferramenta faz

Etapa	Conteúdo	Internet
Verificação de arquivos	Para cada Java encontrado, lê os arquivos lib/security/blocked.certs (no Java 8, blacklisted.certs) e release, verificando se os 16 estão na lista de bloqueio.	Não utiliza
Verificação de conexão real (opcional)	Executa cada Java de fato e tenta conectar a 2 sites de teste e ao servidor de sessão da Mojang, verificando se o certificado falsificado é rejeitado. Detalhes	Utiliza apenas esta etapa
Adição à lista de bloqueio	Adiciona ao final do arquivo apenas as impressões digitais de certificados ausentes. Não apaga nem altera as linhas existentes, e faz backup do original como blocked.certs.bak-cve-2026-91403. Após adicionar, relê o arquivo para confirmar.	Não utiliza
Reversão	Copia o backup de volta ao local original.	Não utiliza

• Consentimento: é necessário digitar Y antes de cada uma das etapas: verificação, verificação de conexão real, adição à lista de bloqueio e uso de privilégios de administrador. Qualquer outra entrada é tratada como "não".
• Registro: registra em Windows %LOCALAPPDATA%\JavaFix e macOS ~/Library/Logs/JavaFix o que foi verificado e alterado.
• Como apenas os 16 certificados problemáticos são bloqueados, não há impacto em sites comuns, acesso ao Minecraft ou download de mods.

3. Limitações desta ferramenta

• Não atualiza o Java. A lista de bloqueio é uma medida temporária e, se o launcher baixar o Java novamente, pode voltar ao estado original.
• Não altera o repositório de confiança (cacerts). Apagar certificados raiz pode bloquear até sites legítimos, por isso não é tocado. (Ex.: o Sectigo "AAA Certificate Services" é uma raiz usada por muitos sites legítimos.)
• Não ativa a verificação de revogação de certificados (revocation). Se ativada, cada conexão consulta o servidor de lista de revogação e, se esse servidor não for acessível, até o login do Minecraft pode falhar. Além disso, essa configuração precisa ser inserida como opção de execução em cada programa, o que dificulta a aplicação em massa.
• "Lista de bloqueio aplicada" na verificação de arquivos significa apenas que os 16 estão na lista de bloqueio, e não que esse Java seja seguro em todos os aspectos. Confirme o comportamento real com a verificação de conexão real.
• Os sites de teste da verificação de conexão real verificam como representante, entre os 16, a família EM DV TLS CA - G3B (caminho eMudhra e caminho Sectigo). Os demais certificados são bloqueados junto, pois usam o mesmo método de bloqueio, mas não são acessados um a um.
• Por ser um programa sem assinatura de código e sem notarização da Apple, exibe avisos do Windows SmartScreen e do macOS Gatekeeper.

4. Download e execução

Baixe o arquivo adequado ao seu sistema operacional na página Releases.

Sistema operacional	Arquivo
Windows (maioria dos PCs)	javafix-windows-x64.exe
Windows (notebooks ARM)	javafix-windows-arm64.exe
macOS (Intel / Apple Silicon em comum)	javafix-macos-universal.zip

Para verificar se o arquivo baixado é o original, compare com o valor em SHA256SUMS.

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

1. Dê um duplo clique em javafix-windows-x64.exe.
2. Quando a janela "Windows protegeu o seu PC" aparecer, clique em Mais informações → Executar. Esse aviso aparece porque o programa não possui certificado de assinatura de código.

macOS

1. Baixe javafix-macos-universal.zip e descompacte-o (o Safari faz isso automaticamente). Uma pasta javafix-macos será criada.
2. Dê um duplo clique em javafix.command dentro da pasta; o Terminal abrirá e o programa será executado.
3. Como o programa não possui notarização da Apple, um aviso de "desenvolvedor não identificado" aparecerá na primeira vez.
   • macOS 15 (Sequoia) ou superior: feche a janela de aviso e, na parte inferior de Ajustes do Sistema → Privacidade e Segurança, clique em "Abrir Mesmo Assim" e depois dê um duplo clique novamente.
   • macOS 14 ou inferior: clique com o botão direito em javafix.command → Abrir → Abrir.

Para executar diretamente no Terminal: