Частните ключове на осем междинни сертификата на удостоверителния орган eMudhra бяха компрометирани, което предизвика спешно блокиране във водещите браузъри и софтуерни платформи. Засегнатите сертификати се свързват с коренови сертификати, ползващи се с доверието на Mozilla, Microsoft, Apple и Chrome, поставяйки клиентите, които все още ги приемат, пред риск от доверяване на фалшифицирани сертификати.

Въпреки това прегледаните публични данни не доказват, че тези ключове могат да бъдат разбити за секунди. Те потвърждават, че изследовател е демонстрирал контрол върху ключовете, но не и начина, по който са били придобити, нито колко бързо криптографска атака би могла да ги извлече.

Изследовател с псевдоним Wayne докладва за компрометирането на екипите за управление на коренови сертификати на 17 октомври 2026 г. За да демонстрира достъп, Wayne подписа съобщението „We have a problem here – Wayne“, използвайки частния ключ на всеки засегнат междинен удостоверителен орган.

Сайтът за оповестяване, публикуван от Dennis Jackson, предоставя сертификати, публични ключове и подписи за независима проверка. Изследователите могат да използват OpenSSL за извличане на публичния ключ на даден сертификат и проверка на съответния подпис. Това доказва способност за подписване, без да се налага публикуване на самите частни ключове.

Междинният удостоверителен орган помага за свързването на сертификата на даден уебсайт с доверен коренов сертификат. Ако ключът му за подписване бъде разкрит, атакуващ може да създаде сертификати, които уязвимите клиенти да приемат като автентични. От Mozilla предупредиха, че субект, способен да прехване връзка, би могъл да използва фалшиви сертификати за представяне под чужда самоличност в уебсайтове и потенциално за четене или модифициране на трафика.

Рискът напомня на по-ранни доклади за неоторизирани HTTPS сертификати, придобити чрез компрометирани регистри на домейни, и неправилно издадени TLS сертификати, засегнали услугата за DNS 1.1.1.1. Тези случаи включваха различни проблеми, но показват защо доверието в сертификатите е проблем за сигурността, надхвърлящ катинара в браузъра.

Браузърите блокират сертификатите чрез софтуерни актуализации

Mozilla получи доклада в 20:06 UTC на 17 октомври и завърши внедряването на списъка си за блокиране OneCRL до 22:59 UTC. Стандартните конфигурации на Firefox получиха защита, без да изискват актуализация на браузъра или рестартиране, според изявлението на Mozilla за инцидента.

В сайта за оповестяване се посочва, че Chrome също е блокирал засегнатите сертификати на 17 октомври. Apple последва на 19 октомври, докато защитата от Microsoft беше въведена на 20 октомври. eMudhra също така оттегли компрометираните междинни сертификати.

Самото оттегляне не защитава всяко приложение. Някои клиенти не получават списъците за блокиране на браузърите и не проверяват дали даден сертификат е бил оттеглен. Тези програми се нуждаят от отделни актуализации, за да спрат да приемат засегнатите вериги от сертификати.

Mozilla пусна версии Firefox 158.0.1, ESR 115.43.1 и ESR 153.5.1, за да защити потребителите, чиито настройки биха могли да предотвратят доставянето на OneCRL. Актуализацията на NSS 3.131.1 също така премахва подписващия коренов сертификат от списъка с доверени сертификати, използван от други приложения.

Страницата за реакция при инциденти изброява корекции за сигурност, включително Go 1.27.3 и 1.26.10, Python certifi 2026.10.19 и Rust webpki-roots 1.0.10. Актуализациите за Node.js и Composer ca-bundle бяха отбелязани като предстоящи към момента на прегледа на страницата.

Потребителите трябва своевременно да обновяват браузърите и операционните си системи. Разработчиците също така трябва да проверят пакетите със сертификати, разпространявани с приложенията, вместо да приемат, че актуализацията на операционната система покрива всяка среда за изпълнение.

Администраторите могат да използват тестовите крайни точки и вериги от сертификати от сайта за оповестяване, за да оценят остатъчната експозиция. Отхвърлянето на сертификат показва, че тестваният клиент отказва засегнатата верига. Ръчното премахване на коренови сертификати трябва да остане мярка за експерти, тъй като може да наруши легитимни връзки.

Потвърдената констатация представлява сериозно компрометиране на ключове за подписване. Наличните доказателства не потвърждават метод за разбиване за секунди или извършване на атаки срещу потребители. Начинът, по който ключовете са били изложени на риск, остава публично непотвърден.