GoDaddy стартира масово оттегляне на 404 607 SSL/TLS сертификата, след като установи, че издадените сертификати не съответстват на публикуваните политики за сертифициране. Компанията пропусна задължителния краен срок за оттегляне, което създаде втори проблем със съответствието. Актуализирано известие за клиентите посочва, че неправилно издадените сертификати са били оттеглени на 21 октомври 2026 г.

Инцидентът засяга сертификати, издадени под удостоверителните вериги на GoDaddy и Starfield. Клиентите, които все още използват засегнат сертификат, могат да се сблъскат с предупреждения за сигурност в браузърите или проблеми с достъпа до уебсайтовете си, докато не инсталират подменен сертификат, според насоките за клиенти на GoDaddy. Самото получаване на подменен сертификат не потвърждава, че уебсайтът реално го използва.

GoDaddy оттегля 404 607 TLS сертификата

Според първоначалния доклад за инцидента трета страна е сигнализирала за разминавания между издадените сертификати и профилите, описани в Политиката за сертифициране и Практиката за сертифициране на Starfield, известни като CP/CPS. Тези документи определят правилата, които удостоверителният орган следва при издаването на сертификати.

Разликите са свързани с информацията за политиките на сертификатите, включително идентификатори на обекти на политики (OID) и CPS URI квалификатори на политики. Тези полета идентифицират политиките за сертификати и препращат към публикуваните практики на органа. Издадените сертификати не са съответствали на документираните профили. Докладите описват неизпълнение на регулаторните изисквания за съответствие, а не потвърдена кражба на частни ключове.

GoDaddy преустанови издаването на сертификати след потвърждаване на доклада. Разследването разкри допълнителни разминавания в засегнатите профили. Компанията коригира и публикува своята документация, преди да възобнови издаването. Допълнителните проверки установиха подобни проблеми и в по-старата верига Starfield G2, която вече не издаваше активно сертификати.

Сертификатите с валидация на домейн (DV) съставляват по-голямата част от засегнатите. На Starfield R1 DV се падат 208 896 сертификата, докато на Starfield G2 DV – 187 159. По-малък брой сертификати с организация за валидация (OV) и разширена валидация (EV) също бяха засегнати във веригите на GoDaddy и Starfield.

GoDaddy пропусна крайния срок за оттегляне

До 05:29 UTC на 19 октомври общият брой на оттеглените сертификати достигна 227 422. От GoDaddy заявиха, че специализирани екипи се занимават с връзка с клиентите, подмяна, оттегляне и проследяване на напредъка чрез имейли, SMS съобщения и телефонни обаждания. По-късното известие до клиентите гласи, че неправилно издадените сертификати са били оттеглени на 21 октомври.

Засегнатите администратори трябва да прегледат секцията за SSL сертификати в своя профил в GoDaddy и да следват всяко известие за подмяна. GoDaddy предупреждава, че актуализиран сертификат може да съществува в профила, докато домейнът продължава да обслужва стария сертификат. Клиентите, които получат предупреждение за инсталиране, трябва незабавно да изтеглят и инсталират новия сертификат.

Случаят напомня на по-ранните оттегляния на сертификати от DigiCert след грешка при валидацията на DNS, въпреки че основните причини се различават. Той също така подчертава оперативните проблеми, отразени в доклада на Cybersecurity News относно неправилното управление на сертификати.