Son haber 21 Ekim 2026'da yayınlandı.
Özel anahtar üretiminde yaşanan hata, herkesin anahtarları tahmin edip herhangi bir web sitesi için HTTPS sertifikası taklit etmesine olanak tanıdı.
Teknoloji devleri, saldırganların meşru web sitelerini taklit etmesine yol açabilecek sekiz güvenlik açığı bulunan dijital sertifikaya karşı acil engellemeler devreye aldı.
Salı gününe kadar tarayıcı geliştiricileri ve diğer büyük teknoloji şirketleri, özel anahtarlarının yeterince güvenli olmadığı tespit edilen Hindistan merkezli sertifika otoritesi eMudhra Limited tarafından çıkarılan sekiz ara sertifikaya karşı koruma önlemlerini uygulamaya koydu.
Mozilla kriptografi mühendisi Dennis Jackson, olay raporunda Cumartesi günü hatadan ilk haberdar olduklarında Mozilla'nın özel anahtarları bağımsız olarak kurtarabildiğini yazdı ve anahtar üretim sürecinin “hatalı” olduğunu ve “sömürmesi son derece kolay” olduğunu doğruladı.
Mozilla'ya göre bir saldırgan kullanıcının bağlantısını ele geçirirse sahte sertifikaları kullanarak meşru bir web sitesini taklit edebilir ve alışveriş edilen bilgileri okuyabilir ya da değiştirebilir.
Birçok şirket etkilenen sertifikaları hızla engellerken, bu engellemeleri otomatik olarak almayan uygulamalar ve sistemler için tehdit sürüyor.
Salı günü yayımlanan bir blog yazısında Mozilla Firefox güvenlik ekibi, raporu Cumartesi günü aldığını ve aynı gün OneCRL üzerinden Firefox'ta etkilenen sertifikaları engelleyerek yanıt verdiğini belirtti. Ekip ardından masaüstü ve Android'de tarayıcı güncellemesi yayınladı; bu güncelleme OneCRL güncellemesini almasını engelleyen özel ayarlara sahip kullanıcıları da korudu.
Cloudflare, rapordan Pazartesi günü haberdar olduğunu ve Salı günü Cloudflare One ile WARP istemcileri ve Cloudflare Tunnel için güncellemeler yayınladığını, hizmetleri genelinde de azaltma önlemleri aldığını açıkladı.
Jackson, sertifikaların Cumartesi'den beri Chrome'da, Pazartesi'den beri Apple cihazlarında ve Salı'dan beri Microsoft platformlarında engellendiğini söyledi.
“Konu 19 Ekim'de alt seviye güven depolarına sorumlu bir şekilde bildirildi. Birçokları zaten güncelleme yayınladı ya da yayınlama sürecinde,” dedi.
Jackson, ara sertifikalar için Nisan 2025'ten bu yana sertifika şeffaflığı kayıtlarında herhangi bir giriş bulunmadığı için Firefox, Chrome, Edge ve Safari'nin bu şekilde saldırıya uğradığına dair bir kanıt olmadığını söyledi.
“Ancak tarayıcı ekosistemi dışındaki birçok istemci Sertifika Şeffaflığı'nı uygulamıyor. Saldırganların hatalı anahtar üretimini bu istemcileri hedeflemek için kullanıp kullanmadığını bilmiyoruz,” diye ekledi.
Olay, 2011'de Hollanda sertifika otoritesi DigiNotar'ın sızdırılmasıyla sonuçlanan büyük siber saldırıyı akla getiriyor; saldırganlar 531 sahte SSL sertifikası çıkarmıştı.
Bu sahte sertifikalar tehdit aktörlerinin Google gibi görünmesine ve yaklaşık 300 bin İranlı Gmail hesabını gözetlemesine olanak tanıdı.
