Certificatele eMudhra compromise: ce verifici dincolo de browser

Browserele au blocat în câteva ore certificatele eMudhra compromise. Aplicațiile, containerele și dispozitivele nu o fac singure. Ce verifici și ce nu dezactivezi.

Pe 17 octombrie 2026, programul de certificate rădăcină al Chrome i-a trimis Mozillei un raport: cheile private a opt certificate intermediare ale eMudhra, o autoritate de certificare din India, erau compromise. Browserele au reacționat în aceeași seară. Problema e că browserul e doar unul dintre programele care verifică certificate. Aplicațiile, serverele, containerele și dispozitivele firmei fac și ele același lucru, iar multe dintre ele nu află singure că un certificat nu mai e de încredere.

Articolul e pentru echipele tehnice și pentru managerii care lucrează cu ele. Explică ce s-a întâmplat și ce trebuie verificat dincolo de „ai actualizat browserul?”.

Când deschizi un site prin HTTPS, serverul îți arată un certificat care spune „eu sunt banca-ta.ro”. Browserul nu poate verifica singur afirmația, așa că se bazează pe o autoritate de certificare (CA). Aceasta semnează certificatul și garantează că a verificat cine îl cere. Browserele și sistemele de operare au o listă de autorități în care au încredere, iar orice certificat semnat de una dintre ele e acceptat.

Autoritățile nu semnează de obicei direct cu cheia rădăcinii, ci prin certificate intermediare. Cine are cheia privată a unui intermediar de încredere poate semna un certificat pentru orice domeniu. Dacă poate intercepta și traficul (o rețea Wi-Fi publică, un router compromis, un furnizor de internet), se poate da drept orice site sau serviciu. Cloudflare descrie exact acest risc: un atacator poate crea un certificat fals pentru orice domeniu și poate intercepta sau modifica traficul.

Conform raportului public de la Mozilla, cheile private a opt certificate intermediare puteau fi recuperate aproape instantaneu, pentru că valorile lor erau foarte mici. Șase sunt certificate pentru site-uri (TLS), acceptate de Chrome, Mozilla, Microsoft și Apple. Două sunt pentru semnarea de cod și sunt acceptate de Microsoft.

eMudhra a explicat preliminar că defectul vine dintr-o ceremonie de generare a cheilor din 30 aprilie 2025. Un script greșit a creat pe echipamentul de securitate o a doua pereche de chei, slabă, iar aceasta a fost folosită din greșeală, pentru că etichetele semănau. Mozilla notează că nu a verificat această explicație. eMudhra a revocat cele opt certificate pe 18 octombrie.

• Mozilla a blocat certificatele în seara de 17 octombrie, prin lista ei de revocare actualizată la distanță. A publicat și versiuni noi de Firefox pe 20 octombrie, apoi a anunțat retragerea de urgență a încrederii în rădăcina emSign ECC Root CA - G3.
• Chrome a transmis raportul și, conform Mozilla, a anunțat un drum similar pentru rădăcină.
• Apple și Microsoft au blocat certificatele pe 19, respectiv 20 octombrie, potrivit presei de specialitate. Nu am găsit încă un anunț oficial al celor două firme.

eMudhra spune că nu are dovezi că cheile slabe au fost folosite înainte de dezvăluire, iar Cloudflare nu a găsit semne de exploatare pe serviciile sale.

Browserele primesc liste de revocare în câteva ore, printr-un mecanism separat. Cloudflare observă că browserele au putut rezolva problema „dintr-o apăsare de buton”, pe când restul programelor trebuie actualizate unul câte unul.

Concret, pot avea încă încredere în certificatele compromise:

• aplicațiile de server care fac cereri HTTPS către alte servicii (plăți, curierat, API-uri);
• imaginile de container construite înainte de incident, care au o copie înghețată a listei de autorități;
• runtime-urile și bibliotecile cu listă proprie de autorități;
• dispozitivele și echipamentele care nu primesc actualizări regulate.

Cercetătorii citați de Help Net Security avertizează exact asupra acestui lucru. Cloudflare adaugă că un test din browser sau din linia de comandă nu dovedește că un serviciu care rulează în fundal e protejat: verificarea trebuie făcută pe drumul real al aplicației.

Aplică actualizările de sistem pe servere și pe stațiile de lucru. Lista de autorități de încredere a sistemului vine de obicei printr-un pachet separat, care trebuie și el actualizat.

O imagine Docker conține propria copie a listei de autorități, din momentul în care a fost construită. Reconstruiește imaginile din imagini de bază actualizate și repornește containerele. Cloudflare recomandă verificarea imaginilor și a dependențelor care aduc liste proprii de autorități.

• Node.js a actualizat lista de autorități pe 21 octombrie, în versiunile 22.23.4, 24.22.1 și 26.12.1, odată cu alte corecturi de securitate.
• Go a publicat tot pe 21 octombrie o corectură (CVE-2026-111943, în versiunile 1.26.10 și 1.27.3) care respinge un set de certificate intermediare care nu mai sunt de încredere, pentru cazurile în care lista sistemului nu e actualizată. Avizul Go nu numește eMudhra, dar a apărut în aceeași zi.
• Pentru Java, Python, PHP sau alte platforme, verifică avizele furnizorului și ale distribuției pe care o folosești.

Dacă folosiți autentificare cu certificate de client (mTLS) sau ați încărcat manual autorități de încredere într-un serviciu, actualizați acele liste separat. Cloudflare le menționează explicit.

Orice certificat emis de cele opt intermediare sau aflat sub rădăcina emSign ECC Root CA - G3 trebuie înlocuit. Conform discuției de la Mozilla, eMudhra a estimat aproximativ 30.000 de certificate de migrat, în mare parte emise automat. Verifică certificatele site-urilor, ale serverelor de origine și ale echipamentelor tale.

După actualizări pot apărea erori de certificat în aplicații care foloseau, direct sau indirect, un lanț eMudhra. Tentația e să oprești verificarea certificatelor „până se rezolvă”. Cloudflare atrage atenția că asta ar elimina exact protecția pe care actualizările o readuc. O eroare apărută după patch arată de obicei că fixul funcționează; soluția e înlocuirea certificatului, nu ocolirea verificării.

1. Actualizează sistemele de operare, inclusiv pachetul cu lista de autorități.
2. Reconstruiește imaginile de container și repornește serviciile.
3. Actualizează runtime-urile (Node.js, Go, Java, Python) la versiunile din octombrie.
4. Actualizează listele de autorități încărcate manual și cele pentru mTLS.
5. Înlocuiește orice certificat emis sub lanțurile eMudhra afectate.
6. Testează pe drumul real al aplicației și nu dezactiva verificarea TLS.

La ME Digital verificăm imaginile de container, runtime-urile și lanțurile de certificate ale aplicațiilor, ca parte din serviciile de securitate și actualizări. Dacă vrei să ne uităm la infrastructura ta, scrie-ne.

• Mozilla Bugzilla 2083449, eMudhra: Private key compromise of Intermediate Certificates
• Cloudflare, 8 eMudhra certificates are compromised. Here's what you need to know
• Node.js, Wednesday, October 21, 2026 Security Releases
• Go Vulnerability Database, GO-2026-6809 (CVE-2026-111943)
• Help Net Security, eMudhra security blunder left trusted CA signing keys exposed to anyone
• The Register, Indian certification authority eMudhra's private keys compromised