javafix

Инструмент временного обходного решения на основе блокировочного списка для уязвимости сертификатов Java (CVE-2026-91403) — Windows / macOS

Находит все установленные на ПК версии Java (лаунчер Minecraft, лаунчеры модов, инструменты разработки, вручную установленные JDK) и проверяет, применена ли временная мера, рекомендованная OpenJDK (добавление 16 проблемных сертификатов в блокировочный список). С согласия пользователя добавляет недостающие записи. При выборе также фактически запускает каждую версию Java и проверяет, действительно ли поддельный сертификат отклоняется.

Этот инструмент не является полным решением. Он не обновляет Java, не исправляет хранилище доверенных сертификатов (cacerts) и не включает проверку отзыва сертификатов. Коренное решение — обновление Java и лаунчеров до исправленных версий. Подробнее см. в разделе 3. Ограничения этого инструмента.

Инструмент создан только на стандартной библиотеке Rust без внешних зависимостей, поэтому, прочитав только папки src/ и probe/, можно убедиться во всём, что он делает.

English: см. English ниже.

1. Что это за уязвимость?

В октябре 2026 года выяснилось, что закрытые ключи 8 промежуточных сертификатов удостоверяющего центра eMudhra может узнать любой желающий. Вместе с сертификатами, которые тем же ключом кросс-подписала Sectigo "AAA Certificate Services", их всего 16.

Неисправленная Java доверяет этим сертификатам, поэтому, если злоумышленник находится в той же сети (например, в публичном Wi-Fi), он может создать поддельный сертификат, выдающий себя за любой сайт, и Java примет его за настоящий. Например, можно выдать себя за сервер входа (сессий) Minecraft или за сервер загрузки модов.

Мера, рекомендованная OpenJDK, — одна из трёх перечисленных ниже.

Официальная мера	Этот инструмент
Обновить Java до исправленной версии (по данным Oracle/OpenJDK — 25.0.5.0.2, 21.0.13.0.2, 17.0.21.0.2, 11.0.33.0.2, 8u511 и выше)	❌ Не выполняет (только уведомляет)
Блокировка проблемных сертификатов через `blocked.certs` (в Java 8 — `blacklisted.certs`)	✅ Добавляет 16 записей
Включение проверки отзыва сертификатов (`-Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true`)	❌ Не выполняет (причина)

Справочные материалы

Уведомление безопасности OpenJDK: https://openjdk.org/groups/vulnerability/advisories/2026-10-21
Предупреждение безопасности Oracle: https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
Список сертификатов и тестовый сайт: https://emudhra.we-have-a-problem.com/ (impacted-intermediates.json)

2. Что делает этот инструмент

Этап	Содержание	Интернет
Проверка файлов	Для каждой найденной Java читаются файлы `lib/security/blocked.certs` (для Java 8 — `blacklisted.certs`) и `release`, чтобы проверить, есть ли 16 сертификатов в списке блокировки.	Не используется
Проверка реального подключения (опционально)	Каждая Java фактически запускается, выполняется подключение к 2 тестовым сайтам и к сессионному серверу Mojang, чтобы убедиться, что поддельный сертификат отклоняется. Подробнее	Используется только на этом этапе
Добавление в список блокировки	Только отсутствующие отпечатки сертификатов добавляются в конец файла. Существующие строки не удаляются и не изменяются, оригинал сохраняется в резервную копию как `blocked.certs.bak-cve-2026-91403`. После добавления файл перечитывается для проверки.	Не используется
Откат	Резервная копия копируется обратно на исходное место.	Не используется

Согласие: перед проверкой, проверкой реального подключения, добавлением в список блокировки и использованием прав администратора необходимо ввести Y для продолжения. Любой другой ввод означает «нет».
Журнал: в Windows %LOCALAPPDATA%\JavaFix, в macOS ~/Library/Logs/JavaFix записывается, что проверялось и что изменялось.
Блокируются только 16 проблемных сертификатов, поэтому это не влияет на обычные веб-сайты, подключение к Minecraft и загрузку модов.

3. Ограничения этого инструмента

Не обновляет Java. Список блокировки — это временная мера, и если лаунчер снова загрузит Java, всё может вернуться в исходное состояние.
Не изменяет хранилище доверенных сертификатов (cacerts). Удаление корневых сертификатов может заблокировать и нормальные сайты, поэтому оно не затрагивается. (Например, Sectigo "AAA Certificate Services" — это корневой сертификат, используемый многими нормальными сайтами.)
Не включает проверку отзыва сертификатов (revocation). Если её включить, при каждом подключении будет выполняться запрос к серверу списка отзыва, и если этот сервер недоступен, может произойти сбой даже при входе в Minecraft. Кроме того, этот параметр нужно добавлять в параметры запуска каждой программы отдельно, поэтому его трудно применить массово.
«Применение списка блокировки» при проверке файлов означает лишь то, что 16 сертификатов внесены в список блокировки, а не то, что эта Java безопасна во всех отношениях. Фактическое поведение проверяйте с помощью проверки реального подключения.
Тестовые сайты в проверке реального подключения представляют семейство EM DV TLS CA - G3B (путь eMudhra и путь Sectigo) из 16 сертификатов. Остальные сертификаты блокируются тем же способом, поэтому блокируются вместе с ними, но подключение к каждому по отдельности не проверяется.
Поскольку программа не имеет подписи кода и нотариального заверения Apple, появляются предупреждения Windows SmartScreen и macOS Gatekeeper.

4. Загрузка и запуск

На странице Releases скачайте файл, соответствующий вашей операционной системе.

Операционная система	Файл
Windows (большинство ПК)	`javafix-windows-x64.exe`
Windows (ноутбуки ARM)	`javafix-windows-arm64.exe`
macOS (Intel / Apple Silicon, универсальный)	`javafix-macos-universal.zip`

Чтобы проверить, что полученный файл является оригинальным, сравните его значение с SHA256SUMS.

certutil -hashfile javafix-windows-x64.exe SHA256      (Windows)
shasum -a 256 javafix-macos-universal.zip              (macOS)

Windows

Дважды щёлкните javafix-windows-x64.exe.
Когда появится окно "Защита Windows SmartScreen", нажмите Подробнее → Выполнить. Это предупреждение появляется, поскольку программа не имеет сертификата подписи кода.

macOS

Скачайте javafix-macos-universal.zip и распакуйте его (Safari делает это автоматически). Появится папка javafix-macos.
Дважды щёлкните javafix.command внутри папки — откроется терминал и программа запустится.
Поскольку программа не прошла нотаризацию Apple, при первом запуске появится предупреждение "Неизвестный разработчик".
- macOS 15 (Sequoia) и новее: закройте окно предупреждения и в самом низу Системные настройки → Конфиденциальность и безопасность нажмите "Всё равно открыть", затем дважды щёлкните снова.
- macOS 14 и старше: щёлкните javafix.command правой кнопкой → Открыть → Открыть.

Чтобы запустить сразу из терминала:

cd ~/Downloads/javafix-macos
xattr -d com.apple.quarantine javafix.command
./javafix.command

javafix

Популярное

javafix

Содержание

1. Что это за уязвимость?

2. Что делает этот инструмент

3. Ограничения этого инструмента

4. Загрузка и запуск