Индийский удостоверяющий центр eMudhra отозвал восемь скомпрометированных промежуточных сертификатов. Оказалось, что приватные ключи для них были настолько слабыми, что их можно было восстановить практически мгновенно. Шесть из восьми промежуточных сертификатов предназначались для выпуска TLS-сертификатов и позволяли создавать поддельные сертификаты для любых сайтов, а еще два использовались для подписи кода.
17 октября 2026 года проблему обнаружил независимый ИБ-исследователь, известный под ником Wayne, который изучал публичные данные сертификатов. В своем уведомлении об инциденте специалист сообщил, что все восемь проблемных ключей были созданы в апреле 2025 года для эллиптической кривой P-384, где приватный ключ должен случайно выбираться из пространства примерно в 2^384 возможных значений.
Однако в случае eMudhra этими секретными значениями оказались числа 4, 56, 66, 115, 155, 156, 230 и 237. То есть все ключи фактически умещались в восемь бит, и атакующему достаточно было перебрать всего 256 возможных значений.
Исследователи независимо восстановили все восемь приватных ключей за доли секунды, а ИБ-специалист под ником Flüpke даже опубликовал на GitHub один из ключей для сертификата EM OV TLS CA - G3C, значение которого действительно равнялось четырем.
Представители eMudhra объяснили, что проблема возникла во время процедуры генерации ключей еще 30 апреля 2025 года. Сначала система создала корректные ECC-ключи, однако затем инженеры изменили стандартный процесс, чтобы протестировать экспорт ключей через операцию wrap/unwrap. Из-за ошибки в скрипте аппаратный модуль безопасности (HSM), использовавшийся для генерации и хранения ключей, создал второй набор ключей с критически слабыми значениями.
Затем ситуацию усугубила человеческая ошибка: метки двух наборов ключей были похожи, из-за чего их перепутали и для выпуска промежуточных сертификатов по ошибке использовали именно слабые ключи. Часть сертификатов также отправили на кросс-подпись в Sectigo — другой крупный удостоверяющий центр. В результате слабые ключи оказались связаны не только с инфраструктурой eMudhra.
В компании предполагают, что сам HSM не имел отношения к проблеме, и продолжают расследование инцидента, чтобы определить, на каком именно этапе возникла ошибка.
Как объясняют специалисты, по сути, обладание такими ключами позволяет выпустить действительный TLS-сертификат для чужого домена. После этого атакующий сможет выдать свой сервер за легитимный, а также читать или модифицировать трафик в рамках MitM-атак.
Пока никаких признаков злоупотребления слабыми ключами не обнаружено, а в логах Certificate Transparency нет свидетельств того, что с их помощью выпускались поддельные сертификаты для чужих сайтов. В eMudhra также заявили, что большинство из восьми проблемных промежуточных сертификатов не использовались для выпуска сертификатов клиентам.
После раскрытия информации о проблеме в eMudhra отозвали все восемь проблемных промежуточных сертификатов и приостановили выпуск новых сертификатов, связанных с корневым сертификатом G3.
Разработчики браузеров отреагировали на инцидент оперативно. Инженеры Mozilla сообщили, что получили информацию о слабых ключах 17 октября и в тот же день заблокировали проблемные сертификаты через механизм OneCRL. Благодаря этому защита распространилась на Firefox автоматически и не требует установки новой версии браузера и его перезапуска.
Кроме того, 20 октября вышел Firefox 158.0.1, а также обновления для ESR-веток браузера. Эти патчи предназначены в том числе для пользователей, у которых из-за настроек Firefox автоматическая блокировка через OneCRL могла не сработать.
17 октября разработчики Chrome тоже заблокировали шесть из восьми промежуточных сертификатов — именно те, что позволяли выпускать TLS-сертификаты для сайтов. В Apple добавили аналогичную защиту 19 октября.
Следует отметить, что инцидент затронул и софт, который использует собственные хранилища сертификатов или по каким-то причинам продолжает доверять отозванным сертификатам. В частности, разработчики Go уже выпустили версии 1.27.3 и 1.26.10, в которых crypto/x509 принудительно отклоняет все восемь проблемных промежуточных сертификатов eMudhra. Проблеме присвоили идентификатор CVE-2026-111943.
Криптограф и мейнтейнер криптографических компонентов Go Филиппо Вальсорда (Filippo Valsorda) полагает, что устранение последствий этого инцидента может оказаться масштабнее нашумевшей проблемы Heartbleed. Браузеры обновляются быстро, однако старые Linux-системы, контейнеры, CLI-инструменты и IoT-устройства продолжат доверять скомпрометированным сертификатам еще долгое время.
Обновления также появились для ряда Linux-дистрибутивов, Python certifi, Rust, Electron и других проектов. Инженер Mozilla по криптографии Деннис Джексон (Dennis Jackson) создал отдельный трекер инцидента, где собирает данные о доступных обновлениях и затронутых продуктах. Также на странице опубликованы рекомендации по временной защите и тестовые адреса, позволяющие проверить, продолжает ли конкретная система принимать скомпрометированные сертификаты.
| ПО / пакет | Исправленная версия / статус |
| Ubuntu ca-certificates | 20260816ubuntu0.22.04.1, 20260816ubuntu0.24.04.1, 20260816ubuntu0.26.04.1, 20260816ubuntu0.26.10.1 |
| Debian ca-certificates | 20250419~deb12u2, 20250419+deb13u1, 20260816+nmu1 |
| Arch Linux ca-certificates-mozilla | 3.131.1-1 |
| Gentoo ca-certificates | 20260816.3.125 |
| Fedora ca-certificates | 2026.2.92_v9.0.319 |
| FreeBSD ca_root_nss | обновление готовится |
| Chainguard ca-certificates | 20260909-r3 |
| Alpine Linux ca-certificates | 20261020-r0 |
| NSS | 3.131.1 |
| curl CA bundle | 2026-10-20 |
| Cloudflare CFSSL trust store | 2026.10.1 |
| Homebrew ca-certificates | 2026-09-25_1 |
| Go | 1.27.3, 1.26.10 |
| Node.js | обновление готовится |
| Python certifi | 2026.10.19 |
| pip | 26.2.2 |
| uv | 0.13.4 |
| Rust rustls-webpki | 0.103.16 |
| Rust webpki-roots / webpki-root-certs | 1.0.10 |
| Electron | 44.9.1, 43.8.1, 42.11.16 |
| Bun | обновление готовится |
| Composer ca-bundle | 1.4.16, 1.6.0 |
| Elixir castore | 1.0.22 |
| Perl Mozilla::CA | 20261020 |
