Скомпрометированы восемь промежуточных сертификатов eMudhra: что это значит и что делать

19 октября 2026 года около 17:00 UTC Cloudflare стало известно о компрометации приватных ключей, связанных с восемью промежуточными сертификатами eMudhra. Эти сертификаты широко доверялись браузерами и операционными системами, а также использовались внутри инфраструктуры Cloudflare. Поскольку сами ключи являются слабыми, атакующий может создать поддельный сертификат для любого домена и использовать его для выдачи себя за серверы — с целью перехвата или модификации трафика. Это серьёзный инцидент в области безопасности с последствиями для всего Интернета. Cloudflare оперативно приоритизировала патчинг критичных сервисов, чтобы защитить клиентов до публичного раскрытия уязвимости. Проведённый аудит безопасности не выявил активной эксплуатации проблемы в сервисах Cloudflare.

Подробности

Компрометация затрагивает механизмы аутентификации на основе сертификатов, а не алгоритмы шифрования TLS. Cloudflare выпустила обновления для клиентов Cloudflare One (также известных как WARP или приложение 1.1.1.1) и для Cloudflare Tunnel (cloudflared), а также развернула меры защиты в продуктах CDN, Developer и Zero Trust. Пользователи Cloudflare Zero Trust с Gateway и актуальным клиентом защищены автоматически. В первую очередь обновлялись сервисы, использующие публичные сертификаты для аутентификации удалённых端点 — включая прокси, подключающиеся к origin-серверам, и приложения, обращающиеся к внешним API. Параллельно были обновлены общие хранилища доверенных сертификатов, базовые образы и другие общие компоненты, что дало единый путь защиты для сервисов, наследующих доверие из этих источников. Обновления сопровождались перезагрузками, рестартами и развёртыванием образов. Приложения со встроенными или кастомными хранилищами доверия прошли отдельную оценку и обновление. Разработчикам важно понимать: API-клиент может делегировать проверку сертификатов HTTP-библиотеке, среде выполнения языка, операционной системе или кастомной конфигурации доверия. Обновление одного лишь SDK может не изменить базовую политику проверки. После установки патчей в дашбордах могут появиться ошибки сертификатов — ни в коем случае не устраняйте их отключением проверки, так как это снимает ту самую защиту аутентификации, которую призваны восстановить обновления. Инцидент затрагивает многие программные стеки, полагающиеся на WebPKI для аутентификации. Деннис Джексон из Mozilla собрал краудсорсинговый список часто используемых пакетов, для которых уже выпущены патчи; рекомендуется обновиться как можно скорее.

Что делать

- Обновите клиенты Cloudflare One (WARP / 1.1.1.1) и Cloudflare Tunnel (cloudflared) до актуальных версий. - Проверьте origin-серверы и собственные конфигурации доверия: часть клиентов должна самостоятельно принять меры в отношении ПО или настроек доверия, которые они эксплуатируют. - Разработчикам: проверьте не только SDK, но и HTTP-библиотеки, среды выполнения и хранилища доверенных сертификатов, которые используются для верификации. - Не отключайте проверку сертификатов для обхода ошибок, появившихся после патчинга. - Сверьтесь со списком пропатченных пакетов, собранным сообществом, и обновите зависимости. Cloudflare продолжает работы по дальнейшему устранению последствий: прогресс есть, но работа ещё не завершена. Компрометация промежуточных сертификатов — напоминание о том, что цепочка доверия WebPKI критична для всей инфраструктуры, и обновление зависимостей должно быть оперативным и повсеместным.

Источник: Cloudflare Blog (Security)