eMudhra'ya ait sekiz ara sertifika otoritesi sertifikasının özel anahtarları tehlikeye girdi. sekiz eMudhra ara sertifika anahtarı Mozilla ve Google Chrome Root Programı tarafından 20 Ekim tarihinde doğrulandı.
Ara sertifika otoritesi, web sitelerinin sunduğu sertifikaları imzalar. Bu anahtarlara sahip olan herkes, tarayıcı tarafından kabul edilecek şekilde herhangi bir web sitesi için sertifika düzenleyebilir.
Bir araştırmacı tehlikeyi 17 Ekim akşamı kök programlara bildirdi. Chrome doğrulamayı yaptıktan sonra Chrome ve Firefox sekiz sertifikayı saatler içinde engelledi.
Chrome'un engelinden önce web siteleri için kullanılan altı ara sertifikaya ait TLS sertifika zincirinin Sertifika Şeffaflığı'na kaydedildiğine dair kayıt bulunmadı. Bu nedenle hiçbiri varsayılan olarak Chrome veya CT kaydını zorunlu kılan diğer tarayıcılar tarafından güvenilir olamazdı. Açıklama Chrome Root Programı'ndan geldi.
Anahtarların eMudhra'dan nasıl çıktığı, ne zaman çıktığı veya araştırmacı dışında kimlerin elinde bulunduğu bilinmiyor.
Anahtarlar, The Hacker News'in daha önce bildirdiği üzere Go'nun 20 Ekim güvenlik sürümlerinde CA'yı isim vermeden engellediği anahtarlar. Go'nun kodundaki sekiz hash değeri sekiz sertifikayla eşleşiyor. Go düzeltmeyi URGENT hattında yürüttü. Güvenlik politikası bu hattı ekosistem bütünlüğüne yönelik tehditler veya vahşi doğada istismar edilen kusurlar için saklar. Sorun veya sürüm notları hangisinin geçerli olduğunu belirtmiyor.
Ne Çalındı
eMudhra, Hindistan merkezli bir sertifika otoritesi. emSign markası altında Hindistan, Amerika Birleşik Devletleri ve Hollanda'daki şirketler aracılığıyla sertifika satıyor ve Mozilla, Chrome ve Apple kök depolarında yer alıyor. Sekiz tehlikeye giren sertifika şunlar:
TLS, alan doğrulamalı: EM DV TLS CA - G3B (eMudhra BV, Hollanda) ve EM DV TLS CA - G3C (eMudhra Inc, Amerika Birleşik Devletleri)
TLS, kuruluş doğrulamalı: EM OV TLS CA - G3B ve EM OV TLS CA - G3C
TLS, genişletilmiş doğrulama: EM EV TLS CA - G3B ve EM EV TLS CA - G3C
Kod imzalama: EM OV CS CA - G3B ve EM OV CS CA - G3C
Altı TLS sertifikası emSign Root TLS CA - G3 tarafından verildi ve emSign ECC Root CA - G3'e zincirleniyor. Bu kök Chrome ve Apple depolarında bulunuyor ve 20 Ekim'e kadar Mozilla'da da bulunuyordu.
Her sekizin aynı açık anahtara sahip, Sectigo'nun AAA Certificate Services kökü altında çapraz imzalanmış ikinci bir sertifikası daha var. Bu liste Mozilla kriptografi mühendisi Dennis Jackson tarafından yayımlanan sertifika listesine göre.
Chrome, TLS doğrulayıcısı ara birimin kod imzalamayla sınırlı bir yol oluşturmadığından iki kod imzalama sertifikasını engellemek zorunda kalmadı. Açıklama Chrome Root Programı'ndan geldi.
Kim Korundu ve Nasıl
Chrome Root Programı bildirimi 17 Ekim'de TSİ 18:05'te aldı ve altı TLS ara birimini engelleyen CRLSet güncellemesini TSİ 19:45'e kadar devreye aldı.
Mozilla bildirimi TSİ 20:06'da aldı ve OneCRL engelini standart ayarlı Firefox kurulumlarına TSİ 22:59'da kadar ulaştırdı. CRLSet ve OneCRL, iki tarayıcının kendi başına aldığı iptal listeleridir. Bu nedenle ne güncelleme ne de yeniden başlatma gerekiyordu.
Chrome'un engeli sertifika yerine açık anahtara göre çalışıyor. Bu sayede Sectigo'nun çapraz imzalı kopyaları da yakalanıyor. Aynı mekanizma Chrome tarafından bu ayın başlarında Google alanları için sahte sertifikalara karşı kullanılmıştı.
Mozilla tarafından yalnızca Wayne olarak gösterilen araştırmacı, her sekiz anahtarla "Burada bir sorun var - Wayne" mesajını imzaladı ve o gün kök programlara gönderdi. Jackson imzaları ve sertifikaları tek sayfalık bir sitede yayımladı.
eMudhra sekiz sertifikayı iptal etti. Apple 19 Ekim'de, Microsoft 20 Ekim'de engelledi ve diğer güven depoları 19 Ekim'de bilgilendirildi. Bilgi Jackson'ın sitesinden.
Çapraz imzalı kopyalar Chrome veya Firefox'ta riski genişletmedi. Her ikisi de Nisan 2025'te web siteleri için Sectigo'nun AAA Certificate Services köküne güvenmeyi bıraktı ve Chrome'un kök deposu dosyası bunu taşımıyor. Apple'ın Aralık 2025'te yayımlanan iOS 26 ve macOS 26 kök listesi bunu içeriyor.
Mozilla, şimdilik sorunun diğer sertifika otoritelerini etkilemediğine inanıyor. Jackson bunu Mozilla'nın politika listesinde yazdı. Chrome, deposundaki her diğer CA sertifikasını kontrol ettiğini ve "bu hata modunun başka örneği bulunmadığını" söyledi.
Ne Güncellenmeli
Tarayıcılar iptali kendilerine itilir. Go ikili dosyalarından Python'un certifi paketini kullanan uygulamalara kadar TLS sertifikalarını kontrol eden birçok diğer program iptal verisini kontrol etmez ve kodları veya kök paketleri değişene kadar bir zincire güvenmeye devam eder.
Mozilla'nın güven deposu işletenlere tavsiyesi: İstemciler iptali güvenilir şekilde kontrol edip kontrol edemediklerinde bağlantıyı reddediyorsa bir şey gerekmiyor; yazılım bireysel ara birimleri engelleyebiliyorsa sekiz ara birim şimdi engellenmeli; aksi halde operatör imzalandıkları köklere olan güveni kaldırmayı düşünmeli.
Şimdiye kadar yayımlanan düzeltmeler ve her birinin yaptığı şey:
Ne yaptığı
1.27.3 ve 1.26.10
SEKİZ anahtardan birini içeren zinciri reddeder (CVE-2026-111943)
20 Ekim'de yayımlandı, yeniden derleme gerekiyor
, ESR 115.43.1 ve ESR 153.5.1
Remote Settings'i alamayan kurulumlar için OneCRL engelini taşır
20 Ekim'de yayımlandı
emSign ECC Root CA - G3'ü güvenilen listeden kaldırır
20 Ekim'de yayımlandı
emSign ECC Root CA - G3'ü paketten çıkarır
emSign ECC Root CA - G3'ü kaldırır
Açık anahtara göre emSign ECC Root CA - G3, emSign Root TLS CA - G3 ve AAA Certificate Services'i hariç tutar
sekiz anahtarı engeller
emSign ECC Root CA - G3'ü kaldırır
Go'nun filtresi standart kütüphanede yer alıyor ve Go'nun kendi doğrulayıcısında ve macOS ile Windows sistem doğrulayıcı yollarında sekiz anahtardan birini içeren zinciri reddediyor. Değişiklik kapatılacak bir ayar eklemiyor. Bir program yeni sürümle yeniden derlendiğinde bunu alıyor; Go 1.25 ve öncesi destek dışı ve düzeltme almıyor.
Üç düzeltme anahtarları engellemek yerine kökleri kaldırarak çalışıyor. certifi, webpki-roots ve Homebrew'un ca-certificates paketleri emSign ECC Root CA - G3'ü paketlerinden çıkarıyor. Homebrew ayrıca Sectigo'nun AAA Certificate Services kökünü ve emSign Root TLS CA - G3'ü de kaldırıyor.
Bu, söz konusu köklere zincirlenen her meşru sertifikayı da kesiyor. Aynı değişikliği NSS'ye yapan Mozilla, bu sunucular yeni sertifika zincirlerine geçene kadar sunucuların Firefox dışı kullanıcıları için kullanılamaz hale geleceğini söyledi.
Firefox, Remote Settings politika ile devre dışı bırakılmadıkça veya ağda engellenmedikçe bir şey istemiyor. 20 Ekim sürümleri bu kurulumlar için engel listesini taşıyor.
Hiçbir kaynak, Chrome'un CT araması kapsamındaki kayıtlı sertifikalar dışındaki anahtarların geçmişte kötüye kullanımını tespit etmenin bir yolunu sunmuyor.
eMudhra'ya Ne Olacak
Mozilla, emSign ECC Root CA - G3'ü 20 Ekim'de NSS'den kaldırdı. Chrome aynı kökü kök deposunun 43. sürümünde kaldıracak ve deposundaki eMudhra'nın diğer kökü emSign Root CA - G1'in durumu gözden geçiriliyor. Açıklama Chrome Root Programı'ndan geldi ve olayın ciddiyetine atıf yaptı.
Anahtarların eMudhra'dan nasıl ve ne zaman çıktığı açık sorular olarak kalıyor. Mozilla, CA, diğer kök programları ve alt akış güven depolarıyla kök neden üzerinde çalıştığını söyledi ve daha fazla bilgi paylaştığında duyuracak. eMudhra'nın güven hizmetleri deposunda 20 Ekim itibarıyla olayla ilgili bir duyuru yoktu.
Go, sorununda CA'yı isim vermedi. Sürüm notları "işletimleriyle ilgili belirli güvenlik endişelerine" atıf yapıyor ve bir yorumcu yamadaki hash'lerin açıklanmasını istedi.
Go'nun standart kütüphanesindeki kriptografi paketlerini sürdüren Filippo Valsorda, anahtarların tehlikeye girdiğini ve sertifikaların iptal edildiğini, Linux kök depolarının iptalin uygulamalara ulaşması için yeterince iyi sürdürülmediğini ve şimdilik anahtarları koda koymanın tek seçenek olduğunu söyledi.
