Oracle baru saja mengeluarkan Security Alert di luar jadwal rutin. Isinya cukup penting buat siapa saja yang masih menjalankan aplikasi berbasis Java.
Alert ini menangani CVE-2026-91403. Singkatnya, Oracle merilis update Java yang membuat sistem tidak lagi percaya pada sekumpulan intermediate CA certificate milik eMudhra yang bermasalah. Cara mengatasinya jelas: update ke versi Java terbaru, atau terapkan mitigasi yang direkomendasikan. Detail teknisnya bisa dilihat di https://ops.java/emudhra dan dokumen Patch Availability yang disediakan Oracle.
Produk yang Terdampak
Kerentanan ini mempengaruhi beberapa produk Oracle berikut:
- Oracle GraalVM Enterprise Edition versi 21.3.20
- Oracle GraalVM for JDK versi 17.0.21 dan 21.0.13
- Oracle Java SE versi 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, dan 27.0.1
Patch hanya tersedia untuk versi yang masih berada di fase Premier Support atau Extended Support sesuai Lifetime Support Policy Oracle. Versi yang sudah di luar dukungan resmi tidak diuji, meski kemungkinan besar juga terdampak. Oracle menyarankan agar pelanggan merencanakan upgrade ke versi yang masih didukung.
Seberapa Berbahaya Celah Ini?
Menurut Risk Matrix yang dirilis Oracle, kerentanan ini berada di komponen JSSE (Java Secure Socket Extension) dan bisa dieksploitasi dari jarak jauh tanpa autentikasi. Skor CVSS 3.1-nya 9.1 (kritis).
- Attack Vector: Network
- Attack Complexity: Low
- Privileges Required: None
- User Interaction: None
- Scope: Unchanged
- Confidentiality: High
- Integrity: High
- Availability: None
Artinya, penyerang yang berada di jaringan bisa mencoba mengeksploitasi celah ini tanpa perlu login atau interaksi pengguna. Dampak utamanya pada kerahasiaan dan integritas data, bukan ketersediaan layanan.
Catatan penting dari Oracle: kerentanan ini bisa dieksploitasi melalui API di komponen yang disebutkan, misalnya lewat web service yang memasok data ke API tersebut. Ini juga berlaku untuk deployment Java di sisi client, seperti aplikasi Java Web Start atau applet yang berjalan di dalam sandbox dan memuat kode tidak terpercaya dari internet.
Apa yang Sebenarnya Terjadi di Balik Alert Ini?
Masalah utamanya terletak pada intermediate CA certificate terkait eMudhra. Private key dari beberapa intermediate tersebut ternyata sangat lemah, sehingga bisa direkonstruksi. Akibatnya, siapa saja yang memiliki kunci itu bisa menerbitkan sertifikat palsu yang akan dipercaya oleh Java yang belum di-update.
Browser besar sudah lebih dulu memblokir rantai sertifikat bermasalah ini. Java masih membawa trust store lama, makanya Oracle harus mengeluarkan update di luar jadwal Critical Patch Update biasa.
Langkah yang Disarankan
- Identifikasi versi Java yang sedang dipakai di server, aplikasi, dan environment development.
- Segera update ke build Java yang sudah menyertakan perbaikan untuk CVE-2026-91403.
- Jika belum bisa update penuh, ikuti mitigasi manual yang dijelaskan di https://ops.java/emudhra (biasanya berupa penghapusan root/intermediate tertentu dari file cacerts menggunakan keytool).
- Setelah update atau mitigasi, uji ulang koneksi HTTPS penting, terutama yang berhubungan dengan pembayaran, API mitra, atau sistem internal.
- Jangan menonaktifkan validasi sertifikat sebagai jalan pintas. Itu justru memperbesar risiko.
Oracle menekankan bahwa pelanggan sebaiknya merencanakan upgrade secara berkala supaya patch keamanan tetap tersedia untuk versi yang dipakai.
Kenapa Infrastruktur yang Terkelola Membantu
Kejadian seperti ini mengingatkan bahwa keamanan tidak berhenti di level aplikasi. Update runtime, trust store, dan patch keamanan butuh lingkungan yang stabil dan mudah diakses.
Bagi perusahaan yang menjalankan aplikasi Java di cloud atau data center, memilih mitra yang terbiasa menjaga sistem tetap mutakhir bisa mengurangi beban. Kalau kamu butuh infrastruktur yang stabil untuk bisnis, layanan colocation dan hosting di Platinum bisa jadi pilihan praktis yang sudah terbiasa menangani update keamanan secara rutin.
Yang penting bukan sekadar pindah provider, tapi memilih mitra yang memang menjadikan update dan keamanan operasional sebagai bagian rutin dari layanan mereka.
Penutup
CVE-2026-91403 bukan bug kode yang rumit, tapi masalah kepercayaan pada rantai sertifikat yang sudah tidak aman. Solusinya jelas: update Java atau terapkan mitigasi yang direkomendasikan Oracle.
Kalau sistem kamu masih memakai versi yang masuk daftar terdampak, segera lakukan pengecekan. Lebih baik sedikit ribet sekarang daripada harus menangani insiden di kemudian hari. Keamanan digital memang kerjaan yang tidak pernah benar-benar selesai, tapi dengan langkah yang tepat dan infrastruktur yang mendukung, beban itu bisa jauh lebih ringan.
