Framework - Linha Datasul - TEC - Procedimentos para vulnerabilidade Java CVE-2026-91403

Tempo aproximado para leitura: 00:02:55 min

Ocorrência
Procedimentos para análise e proteção do ambiente contra a vulnerabilidade Java CVE-2026-91403

Ambiente
Framework - Framework (Linha Datasul) - Tomcat - Todas as versões

Causa 
A CVE-2026-91403 é uma vulnerabilidade de quebra de confiança na cadeia de TLS/SSL.
A Autoridade Certificadora (CA) eMudhra sofreu um comprometimento em suas chaves privadas ou utilizou algoritmos criptográficos fracos, permitindo a geração de certificados fraudulentos (falsificados), mas matematicamente válidos.
Como o keystore padrão ainda confia na eMudhra, um atacante posicionado na rede pode realizar um ataque de Man-in-the-Middle (MitM). A sua aplicação Java aceitará o servidor malicioso como legítimo, expondo dados tráfegos e credenciais.

Solução
Para o Java JDK Oracle, as versões 11.0.33.0.2 e 17.0.21.0.2 já possuem correção para o problema.
Para o Adoptium OpenJDK, a correção ainda não está disponível, mas deve ser liberada nas próximas semanas.
Neste caso, como workaround, pode ser removido o alias padrão da eMudhra da instalação do Adoptium OpenJDK, indicando que este não é mais um certificado confiável. Este é apenas um workaround até que a versão com a correção seja liberada.
Utilize os comandos abaixo, de acordo com a configuração de seu ambiente e sistema operacional.

Para servidores Linux:

sudo keytool -delete -alias "cn_emsign_ecc_root_ca__c3,o_emudhra_inc,ou_emsign_pki,c_us [jdk]" -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit
sudo keytool -delete -alias "cn_emsign_ecc_root_ca__g3,o_emudhra_technologies_limited,ou_emsign_pki,c_in [jdk]" -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit
sudo keytool -delete -alias "cn_emsign_root_ca__c1,o_emudhra_inc,ou_emsign_pki,c_us [jdk]" -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit
sudo keytool -delete -alias "cn_emsign_root_ca__g1,o_emudhra_technologies_limited,ou_emsign_pki,c_in [jdk]" -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

Para servidores Windows:

keytool -delete -alias "cn_emsign_ecc_root_ca__c3,o_emudhra_inc,ou_emsign_pki,c_us [jdk]" -keystore "%JAVA_HOME%\lib\security\cacerts" -storepass changeit
keytool -delete -alias "cn_emsign_ecc_root_ca__g3,o_emudhra_technologies_limited,ou_emsign_pki,c_in [jdk]" -keystore "%JAVA_HOME%\lib\security\cacerts" -storepass changeit
keytool -delete -alias "cn_emsign_root_ca__c1,o_emudhra_inc,ou_emsign_pki,c_us [jdk]" -keystore "%JAVA_HOME%\lib\security\cacerts" -storepass changeit
keytool -delete -alias "cn_emsign_root_ca__g1,o_emudhra_technologies_limited,ou_emsign_pki,c_in [jdk]" -keystore "%JAVA_HOME%\lib\security\cacerts" -storepass changeit

Reinicie os processos que utilizam esta instalação do Java para que as alterações tenham efeito.

Importante
A realização de um backup do arquivo cacerts é imprescindível para o caso de problemas na execução do procedimento.
Também é importante realizar a atualização em todos os aplicativos que utilizam Java, como por exemplo: Tomcat, OpenEdge, Task Automation.