¿Esto afecta a mi navegador?

No necesariamente. La falla es de Java como cliente HTTPS en aplicaciones, no del navegador.

¿Tengo que actualizar si solo uso Java en servidores internos?

Sí, si esos servidores establecen conexiones HTTPS hacia otros sistemas. La confianza en certificados importa también hacia dentro de la red.

¿El parche quita HTTPS o rompe mis integraciones?

No quita HTTPS: cambia en qué certificados confía Java. Si alguna integración dependía de un certificado intermedio afectado, puede fallar; conviene probar antes de aplicar en producción y tener el rollback a mano.

Java CVE-2026-91403: alerta de Oracle y cómo actualizar

Qué corrige exactamente

El parche no quita HTTPS: cambia en qué certificados confía Java, bloqueando ciertos certificados intermedios vinculados a la entidad certificadora eMudhra. Node.js incluyó en su lote del 21 de octubre una actualización de certificados por el mismo incidente.

En la práctica: una aplicación Java que confiaba en una cadena de certificados afectada puede rechazar conexiones después del parche. Es el efecto esperado, y por eso conviene aplicarlo con pruebas y no a ciegas en la madrugada de un cierre comercial.

Versiones mencionadas

Según reportes públicos, Oracle lista como afectadas Java SE 8u511, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1, además de GraalVM for JDK 17.0.21 y 21.0.13. Confirma los números de versión corregida directamente en el aviso de Oracle y en el de tu distribuidor antes de tomar decisiones: cada rama publica su propio build.

Y la actualización trimestral de Oracle

El 20 de octubre Oracle publicó su actualización trimestral con 1.295 parches en toda su línea de productos, entre ellos 55 para Java SE. Oracle señala que varias fallas de Java afectan sobre todo a clientes que ejecutan código no confiable dentro del sandbox, y no a servidores que solo ejecutan código de confianza; otras se explotan a través de servicios web. La misma actualización incluye WebLogic, Fusion Middleware, MySQL y otros productos.

Cómo comprobar si te afecta

java -version en cada servidor, y la versión dentro de cada contenedor o imagen.
Identifica el distribuidor: Oracle JDK, OpenJDK, Temurin, Corretto u otro; cada uno publica sus propias versiones corregidas.
Revisa aplicaciones que traen su propio Java incluido: servidores de aplicaciones, herramientas de respaldo, paneles de administración.
Verifica si usas Java SE 26: su soporte regular terminó en septiembre de 2026 y no hay corrección en esa línea.

Cómo corregirlo

Actualiza al último build de tu distribuidor publicado después del 21 de octubre y reinicia las aplicaciones Java. Oracle advierte que hay ataques exitosos contra clientes que no aplicaron parches ya disponibles, y recomienda hacerlo sin demora.

Orden sugerido: inventario de versiones y distribuidores, respaldo de la aplicación y su configuración, actualización en ambiente de prueba con las integraciones HTTPS críticas, y recién después producción.

Si no puedes actualizar ahora

Reduce la exposición: limita qué servicios Java se conectan a internet y restringe las conexiones salientes a destinos conocidos. Oracle señala que bloquear protocolos de red necesarios para un ataque puede reducir el riesgo, pero puede romper funciones y no es una solución duradera.

Qué mirar después del parche

Conexiones salientes que empezaron a fallar: son la señal de una cadena de certificados que quedó fuera de confianza.
Registros de handshake TLS en las aplicaciones que hablan con terceros.
Versiones dentro de contenedores que no se reconstruyeron.