2026 年 10 月 20 日，eMudhra 旗下 8 張中繼 CA 憑證遭到入侵的消息曝光。eMudhra 表示，Mozilla 與 Google 的 Chrome Root Program 也確認，受影響憑證所使用的私密金鑰在產生時就存在缺陷，任何人都能從公開憑證推算出對應的私密金鑰，進而冒充信任該憑證鏈的網站與服務。eMudhra 已撤銷這些憑證，Apple、Google、Microsoft 與 Mozilla 也已在各自的瀏覽器及作業系統中封鎖這些憑證。
eMudhra 指出，這 8 張中繼憑證中，只有 1 張曾在正式環境中使用，且沒有任何一張曾簽發終端實體憑證。Google 也表示，從憑證透明度（Certificate Transparency，CT）日誌中，未發現任何憑證鏈結至這些中繼憑證。儘管如此，所有負責判斷憑證是否可信的元件都必須採取相應措施，Java 執行環境（Java Runtime Environment，JRE）也不例外。
Java 執行環境（Java Runtime）不會自動接收憑證撤銷資訊，預設也不會檢查憑證是否已遭撤銷。此次受影響的中繼憑證可一路追溯至許多 OpenJDK 發行版本所信任的根憑證，因此，尚未安裝修補程式的 JDK 仍可能接受由遭入侵金鑰簽署的偽造憑證。全球大量企業應用程式與基礎架構軟體都仰賴 Java 執行環境（JVM／JDK）建立安全連線，因此，修補措施必須直接納入 JDK 本身。
修補方式是將遭到外洩的憑證加入封鎖清單 (lib/security/blocked.certs)。這份清單可透過兩種方式部署至 Java 執行環境：一是透過 JDK 更新套件安裝；二是手動將檔案放入每個已安裝的 Java 執行環境中，包括嵌入應用程式的執行環境副本、容器映像檔及 CI Pipeline 中使用的副本，並在完成後重新啟動相關環境。第一種方式可沿用多數 Java 團隊既有的更新流程；第二種方式則需要在時間緊迫的情況下，臨時規劃並執行額外的部署作業。
Azul 將此事件視為需要立即處理的重大資安問題，並第一時間著手提供透過 JDK 更新套件部署修補措施的解決方案。
事件公開後 24 小時內，Azul 便發布了附有完整說明文件的暫行解決方案，並釋出經過測試的 OpenJDK 更新版本，涵蓋 Java 27、25、21、17、11、8、7 和 6 的 Azul Zulu Builds of OpenJDK，以及 Java 25、21、17、11 和 8 的 Azul Prime（Azul Zing Builds of OpenJDK）。這些更新已將 8 張遭入侵的憑證列入封鎖清單，安裝更新後，無須再手動修改 JDK。
為降低更新對既有系統穩定性的影響，Azul 將修正納入其「Security-only, Stability-first update™」更新機制。此機制以前一個更新週期的版本為基礎，僅納入安全性修正，減少更新引入其他問題的風險。
相關說明：https://docs.azul.com/core/release/october-2026-respin/emudhra-workaround
企業應確認哪些軟體仍信任受影響的憑證，並安裝軟體供應商提供的更新，以封鎖這些憑證。只有在尚無更新可用時，才應採用暫行解決方案。瀏覽器與作業系統通常會自動接收憑證撤銷資訊，但許多其他框架與執行環境並不會主動檢查憑證是否已遭撤銷，Java 預設也不例外。
針對 2026 年 10 月 eMudhra 中繼憑證遭入侵事件，Azul 已釋出 Azul Zulu Builds of OpenJDK 更新，已將 8 張外洩的憑證加入 JDK 封鎖清單，可消除 CVE-2026-91403。但有專家認為應完整清除外洩的憑證，因此對此 Patch 提出 CVE-2026-114820。
Azul 釋出於 2026 年 10 月 24 日提供清除憑證的 Patch，可清除 CVE-2026-114820。
一般而言，安裝完整更新是較理想的做法，因為可以沿用既有的部署流程，也不必逐一手動修改每套 Java 開發套件（JDK）。在大規模部署環境中，逐套修改不僅耗時，也容易出錯。只有在無法立即更新的情況下，才適合將手動暫行措施作為過渡方案。
針對 eMudhra 憑證遭入侵事件，Azul 同時提供兩種處理方式：適用於 Java 27、25、21、17、11、8、7 和 6 的 Azul Zulu 完整更新，以及附有操作說明的暫行解決方案，供無法立即更新的執行環境使用。
由於參與 OpenJDK Vulnerability Group 的 Java 供應商通常早已掌握絕大多數即將公開的 JDK 常見弱點與漏洞（Common Vulnerabilities and Exposures，CVE）資訊，因此應能在漏洞公開時立即提供修補更新。及時交付修補程式至關重要，因為攻擊者可能在漏洞公開後迅速發動攻擊。2026 年 10 月 20 日，Azul 便在 53 個新的 CVE 公開時，立即釋出相應的修補更新。
此外，Azul 於 2026 年 10 月 21 日發布 Azul Zulu 週期外更新。這是在 Mozilla 與 Google Chrome Root Program 公開確認 eMudhra 中繼憑證遭入侵事件的隔天，而且當時相關問題尚未獲配任何 CVE 編號。後續此事件得到 CVE-2026-91403 與 CVE-2026-114820 編號，皆為 9.1 分，故建議所有 Java 用戶立即採取應對措施。
若要及時修補又不造成服務中斷，關鍵在於將緊急安全性修正與無關的非安全性變更分開。僅包含安全性修正的版本有助於做到這點，也能降低緊急修補引發回歸問題並進而影響正式環境的可能性。
Azul 將 eMudhra 憑證修正納入「Security-only, Stability-first update™」更新機制，此機制以前一個週期的版本為基礎，僅加入安全性修正，降低更新引入其他問題的風險，讓企業能在兼顧系統穩定性的前提下，及時部署必要的安全更新。
若叡揚客戶有任何需要協助的地方，請隨時向您的專案負責人聯絡。如您想了解更多有關 Azul 相關的產品資訊，也歡迎隨時向叡揚資訊資安團隊洽詢。
了解更多 Azul 企業級安全高效 Java 平台：https://www.gss.com.tw/product-services-nav/info-security/azul