> ## Content Index
> Fetch the complete content index at: https://globalfeed.ai/llms.txt
> Use this file to discover other available public pages before exploring further.

# أزمة eMudhra تمتد إلى Java وGo وOpenJDK تصدر إرشادًا أمنيًا حرجًا
- URL: https://globalfeed.ai/ar/zm-emudhra-tmtd-l-java-wgo-wopenjdk-tsdr-rshdan-mnyan-hrjan/
- Published: 2026-10-23T00:42:59.000Z
- Updated: 2026-10-23T00:42:59.000Z
- Description: أصدرت OpenJDK إرشادًا أمنيًا بدرجة CVSS ‏9.1 بشأن المفاتيح المخترقة لجهة إصدار الشهادات الهندية eMudhra. ولأن Java لا تتحقق من إلغاء الشهادات افتراضيًا، قد تُقبل الشهادات المزيفة. كما أصدرت Go وRust وElectron وNode.js إصلاحات.
- Author: GlobalFeed Editor
- Tags: Java, OpenJDK, Go, eMudhra, الأمن السيبراني, HTTPS, x-OpenJDK, x-golang, dil-ar, elle

أطلق اكتشاف أن المفاتيح الخاصة لثماني شهادات وسيطة من جهة إصدار الشهادات الهندية eMudhra يمكن لأي شخص استعادتها موجة إصلاحات تشمل عالم البرمجيات كله تقريبًا، أبعد بكثير من المتصفحات. وبعد Python جاء تحذير رسمي لـ Java: فبحسب [الإرشاد الأمني لـ OpenJDK بتاريخ 21 أكتوبر](https://openjdk.org/groups/vulnerability/advisories/2026-10-21?ref=globalfeed.ai)، تُتابَع المسألة برقم CVE-2026-91403 وتُصنّف حرجة بدرجة 9.1 على مقياس CVSS 3.1، وتتعلق بمكوّن javax.net.ssl الذي يُنشئ اتصالات TLS في Java.

## لماذا تتأثر Java

كانت الشهادات الوسيطة المخترقة موقّعة توقيعًا متقاطعًا ليس فقط من جذر eMudhra نفسها، بل أيضًا من جذر AAA Certificate Services التابع لـ Comodo/Sectigo، وقد تكون هذه الجذور موجودة في قائمة الشهادات الموثوقة لدى Java (cacerts). وبينما توزع المتصفحات قوائم الحجب بنفسها، لا تتحقق تطبيقات Java من إلغاء الشهادات افتراضيًا، ويوصي إرشاد OpenJDK بتفعيل التحقق من الإلغاء في التطبيقات التي لا تفعّله. ونتيجة لذلك قد يقبل تطبيق Java غير محدّث شهادة مزيفة صادرة بهذه الشهادات الوسيطة، ما يتيح لطرف وسيط انتحال الخادم المقصود.

ولا يقتصر ذلك على عملاء الويب، بل يشمل كل عميل HTTPS مكتوب بـ Java، ومن ذلك تطبيقات الخوادم التي تتصل بخدمات أخرى، وعملاء الواجهات البرمجية، وأدوات البناء التي تنزّل التبعيات عبر HTTPS.

## الإصدارات المتأثرة والإصلاح

يذكر الإرشاد أن الإصدارات المتأثرة هي 27.0.1 و25.0.5 و21.0.13 و17.0.21 و11.0.32.1 و8u504 وما قبلها. وتذكر صفحة الحادثة لدى الباحث الذي أبلغ عنها أن إصدارات Oracle JDK المصححة هي 27.0.1.0.2 و25.0.5.0.2 و21.0.13.0.2 و17.0.21.0.2 و11.0.33.0.2 و8u511، ولم يتسنَّ التحقق منها بشكل منفصل لتعذر الوصول إلى ملاحظات إصدار Oracle. أما تحديثات الموزعين الآخرين مثل Eclipse Temurin وAmazon Corretto وMicrosoft وAzul وRed Hat فيجب متابعتها في صفحاتهم.

والحل الذي توصي به OpenJDK هو إضافة الشهادات المخترقة إلى قائمة الحجب في Java. وبحسب الإرشاد، يعني ذلك تحديث الملف lib/security/blocked.certs في مجلد JDK، واسمه في JDK 8 هو blacklisted.certs. ويوصي بالإعدادين -Dcom.sun.net.ssl.checkRevocation=true و-Dcom.sun.security.enableCRLDP=true لتفعيل التحقق من الإلغاء في اتصالات TLS، وبالتحقق مع فحص الإلغاء عبر jarsigner لملفات JAR الموقعة.

## أسهل على توزيعات Linux

بحسب الإرشاد، يكفي تحديث شهادات نظام التشغيل لـ OpenJDK المثبت من حزم النظام على Arch وDebian وDevuan وFedora وGentoo وOracle Linux وRHEL وUbuntu. ولا ينطبق ذلك على FreeBSD وHomebrew، حيث يجب تحديث Java نفسها. وتحذر صفحة الحادثة من أن مخزن شهادات Java قد يخرج عن التزامن مع النظام في Debian وUbuntu، وتوصي بإعادة تهيئة حزمة ca-certificates-java.

## لغات وأدوات أخرى

- **Go:** يستبعد Go 1.27.3 و1.26.10، الصادران في 20 أكتوبر ضمن CVE-2026-111943، السلاسل التي تحتوي على هذه الشهادات الوسيطة أثناء التحقق. ولأن برامج Go تحمل شيفرة الإصدار الذي بُنيت به، يجب إعادة بناء التطبيقات بالإصدار الجديد.
- **Rust:** أزالت webpki-roots 1.0.10، قائمة الجذور في منظومة rustls، الجذر emSign ECC Root CA - G3.
- **Electron:** يتضمن الإصدار 44.9.1 الإجراء المخفف ضد شهادات eMudhra الوسيطة المخترقة، ويجب إعادة حزم تطبيقات سطح المكتب به.
- **Node.js:** حدّثت الإصدارات 22.23.4 و24.22.1 و26.12.1 قائمة الجذور.
- **Python:** يلزم pip 26.2.2 وcertifi 2026.10.19 وuv 0.13.4، ولأن pip يحمل قائمته الخاصة كانت Python أكثر المنظومات تضررًا.

## ما الذي ينبغي فعله

حدد إصدار Java وموزّعه على خوادمك وانتقل إلى أحدث إصدار من الموزع، وإن تعذر ذلك فطبّق خطوات blocked.certs الواردة في إرشاد OpenJDK. وعلى Linux حدّث حزمة ca-certificates في نظام التشغيل. وإن كنت توزع تطبيقاتك كصور حاويات فجدد الصور الأساسية وأعد بناءها. وأعد بناء التطبيقات المكتوبة بـ Go وElectron بالإصدارات الجديدة. ويمكنك التحقق مما إذا كان تطبيقك لا يزال يثق بهذه الشهادات عبر الاتصال بعناوين الاختبار في صفحة الحادثة.

تستند التفاصيل إلى إرشاد OpenJDK الأمني وملاحظات إصدار Go وRust وElectron وصفحة الحادثة لدى الباحث الذي أبلغ عنها. وكانت المفاتيح المخترقة قابلة للتخمين فعليًا منذ أبريل 2025، ولا يُعرف إن كانت قد أُسيء استخدامها خلال هذه المدة. وقد تبقى برمجيات الخوادم التي لا تتحقق من سجلات شفافية الشهادات أو من الإلغاء افتراضيًا معرضة في مثل هذه الحوادث لفترة أطول بكثير من المتصفحات. ننصح بمتابعة تقييمات الباحثين الأمنيين المستقلين للاطلاع على زوايا أخرى.