---
title: "تسوية eMudhra المتوسطة CA: دليل التأثير والمعالجة"
description: "تقييم مسارات الثقة المتأثرة وتحديث أنظمة التشغيل والمتصفحات وأوقات التشغيل والحاويات، مع التحقق من أداة التحقق من صحة الشهادة الفعلية."
language: "ar-EG"
url: "https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide"
author: "KeenDigit"
published: "2026-10-22"
---

# تسوية eMudhra المتوسطة CA: دليل التأثير والمعالجة

تقييم مسارات الثقة المتأثرة وتحديث أنظمة التشغيل والمتصفحات وأوقات التشغيل والحاويات، مع التحقق من أداة التحقق من صحة الشهادة الفعلية.

**تم فحص المصادر في 22 أكتوبر 2026، بتوقيت بكين.** **الجمهور: المستخدمون الفرديون ومشغلو مواقع الويب والمطورون ومسؤولو النظام.**

جعلت نقاط الضعف الخطيرة مجموعة المفاتيح الخاصة eMudhra/emSign المتوسطة CA قابلة للاسترداد. يؤثر هذا على العملاء الذين يستخدمون نظام الشهادات العامة لمصادقة مواقع الويب وواجهات برمجة التطبيقات والبرامج. تمتد ثقة الجمهور إلى أنظمة التشغيل الرئيسية، لكن مجموعة المفاتيح المخترقة والتأثير المحتمل على العميل نطاقان مختلفان. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

يستخدم النص الرئيسي قوسين مربعين لترقيم المصادر المقابلة، ويتم إدراج جميع الروابط المرجعية الخارجية في الملحق. الإصدار المدرج هو الإصدار الأساسي المؤكد أنه يحتوي على إصلاح هذه الحادثة اعتبارًا من تاريخ التحقق. عند النشر، تعطى الأولوية للإصدار الثابت المحدث في نفس الفرع المدعوم.

## TL;DR

**تم تأكيد اختراق ثمانية مفاتيح خاصة متوسطة CA. لا تثبت التقارير الحالية أن المفاتيح الخاصة الجذرية أو تشفير HTTPS بشكل عام قد تم كسرها. تمتد التحديثات إلى جزء كبير من النظام البيئي للثقة العامة؛ تعتمد المخاطر المتبقية على التطبيق الفعلي.**[1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

1. **المستخدمون الفرديون:** يقوم بتحديث المتصفحات وأنظمة التشغيل ومكونات الأمان. في Android، قم أيضًا بتحديث خدمات Google Play. استخدم Firefox Android 158.0.2 أو الأحدث. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[2](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-2)
2. **Servers:** يقوم بتحديث حزم `ca-certificates`/NSS للتوزيع والتحقق من المخازن الموثوقة المجمعة للتطبيقات. تحديث المضيف فقط غير كاف. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)[8](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-8)[10](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-10)
3. بيئات التطوير **:** قم بتحديث Node 24 إلى 24.22.1 أو إصدار أحدث في هذا الفرع حسب الاقتضاء. في بيئات Python، قم بالتحديث إلى pip 26.2.2 وcertifi 2026.10.19 وuv 0.13.4 على الأقل. الحصول على ثنائيات Go الثابتة أو إعادة بنائها؛ قم بتحديث Java وفقًا لاستشارات البائع. [12](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-12)-[15](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-15)
4. **تنشيط التحديثات:** إعادة تشغيل الخدمات المتأثرة وإعادة بناء الحاويات وإعادة نشرها. بالنسبة إلى Cloudflare Tunnel، قم بتحديث cloudflared إلى 2026.10.2 أو إصدار أحدث. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)
5. **شهادات موقع الويب:** تستبدل السلسلة المتأثرة إذا كانت تحتوي على CA وسيطة ملغاة أو محظورة، أو تعتمد على جذر غير موثوق به. لا تحل إعادة إصدار الشهادة محل تحديث مخازن ثقة العميل. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)[8](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-8)
6. **التحقق:** اختبار مسار TLS الفعلي لكل تطبيق. يمكنك التمييز بين رفض الشهادة والمهلات وحالات فشل DNS. حافظ على تمكين التحقق من الشهادة؛ لا تستخدم `-k` أو تخطي التحقق لمنع الأخطاء. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)

## 1 حقائق وأسباب الحادث

### حقائق مؤكدة

أكد Mozilla وGoogle وجود عيوب في ثمانية مفاتيح خاصة eMudhra المتوسطة CA. قدم الباحث دليلاً على التحكم بالمفتاح الخاص؛ استعاد Mozilla المفاتيح بشكل مستقل وأعاد إنتاج المشكلة. تخدم ستة مراجع مصدقة وسيطة TLS ويخدم اثنان توقيع التعليمات البرمجية. [2](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

يكمن الخلل في المفاتيح التي تم إنشاؤها: تستخدم هذه المراجع المصدقة المتوسطة منحنى P-384، لكن مفاتيحها الخاصة عبارة عن أعداد صحيحة أقل من 256. وهذا بعيد كل البعد عن تحديد المفاتيح بشكل عشوائي بشكل آمن من النطاق الكبير المقصود. لا يوضح استرداد هذه المفاتيح الضعيفة إمكانية كسر مفاتيح P-384 التي تم إنشاؤها بشكل صحيح. [2](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-2)

يجب أن تُفهم عبارة "تم اختراق الشهادة" بدقة على أنها "يمكن استرداد المفتاح الخاص المقابل". الشهادة والمفتاح العام الموجود فيها عامان بطبيعتهما؛ ما يجب أن يظل سرًا حقًا هو المفتاح الخاص الذي يمكنه إنشاء توقيع صالح.

### لا تزال مشكلات عملية إنشاء المفاتيح قيد التحقيق

يتتبع الوصف الأولي لـ eMudhra المشكلة إلى حفل إنشاء المفاتيح في أبريل 2025. يتضمن الشرح خطوة تغليف وإلغاء تغليف رئيسية: بالإضافة إلى المفتاح القوي الأصلي، تظهر مجموعة أخرى من المفاتيح الضعيفة، ويتم استخدام المفاتيح الضعيفة لاحقًا لتطبيق الشهادة وإصدارها. ولا تزال الشركة تقول إن السبب الجذري الدقيق لم يتم تحديده بشكل قاطع. [6](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-6)

ولذلك فإن ما يمكن تحديده هو أن هذه المفاتيح ضعيفة للغاية وتم اختراقها؛ لا يمكن وصف الفشل بشكل أكبر على أنه قد ثبت أن مصدر رقم عشوائي معين للأجهزة HSM معيب، ولا يمكن وصفه بأنه اختراق تشفير عام لـ RSA أو ECC أو TLS.

### ماذا يعني عدم الثقة في شهادة الجذر؟

يمكن للمتصفح أو نظام التشغيل حظر الشهادة أو المفتاح العام للوسيط المتأثر CA مباشرة، أو يمكنه إزالة ثقة الجذر المؤدية إليهما. سيؤدي الإجراء الأخير أيضًا إلى رفض بعض الشهادات الشرعية تحت نفس الجذر.

قامت Google بجدولة إزالة `emSign ECC Root CA - G3` لحماية مستخدمي مخزن الجذر Chrome الذين لا يتلقون التحديثات من CRLSet. ومن المتوقع أن يتم دفع عملية إزالة متجر الجذر خلال الفترة المقابلة من 27 إلى 28 أكتوبر بتوقيت بكين؛ الوقت الأصلي لـ Google هو صباح يوم 27 أكتوبر، بالتوقيت الصيفي للمحيط الهادئ للولايات المتحدة. هذه الخطة منفصلة عن حظر المفتاح العام للطوارئ الذي تم نشره مسبقًا. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)

**عدم الثقة في الجذر هو إجراء استجابة؛ فهو لا يثبت في حد ذاته أن المفتاح الخاص الجذر قد تم اختراقه.**

## 2 لماذا يمتد التأثير المحتمل إلى النظام البيئي للثقة العامة

### المفاتيح المخترقة ومسارات الثقة المتأثرة

| كائن الحكم                                    | نطاق هذه الحادثة                                                                                  |
| --------------------------------------------- | ------------------------------------------------------------------------------------------------- |
| تم تحديد مفتاح المشكلة                        | 8 مفاتيح خاصة متوسطة CA لـ eMudhra                                                                |
| المنصات التي قد تتطلب اتخاذ إجراء             | متجر الجذر العام والمتصفح ونظام التشغيل ووقت تشغيل اللغة وحزمة البرامج والنظام البيئي للحاوية     |
| من المحتمل أن تكون الهوية منتحلة TLS          | مواقع الويب أو الخدمات التي يزورها العملاء والتي لا تزال تقبل سلسلة الشهادات المزورة المرتبطة بها |
| هل هذا يعني أن جميع الأجهزة قد تم اختراقها؟   | لا؛ تحدد شروط الثقة وموقع شبكة المهاجم واستراتيجيات التحقق الأخرى إمكانية الاستغلال               |
| هل يعني ذلك أن جميع الشهادات القانونية باطلة؟ | لا؛ يعتمد الإبطال المرتبط على الجذور أو سلاسل الشهادات التي لم يثق بها العميل.                    |

Red Hat يقصر الاستغلال بشكل صريح على الظروف التي لا يزال فيها العميل يقبل السلسلة ذات الصلة، ويمتلك المهاجم المفتاح الخاص المخترق، ويكون قادرًا على اعتراض الاتصال في الشبكة. لا ينبغي الخلط بين تغطية المخاطر وعدد الهجمات التي حدثت. [10](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-10)

### قد يتم أيضًا انتحال هوية مواقع الويب التي تستخدم CA أخرى

لنفترض أن موقع الويب يستخدم بالفعل شهادة Let’s Encrypt، ويثق عميل الزائر في CA العامة المتعددة في نفس الوقت. قد يحاول أحد المهاجمين استخدام CA الوسيط المخترق لإنشاء شهادة أخرى لنفس اسم المجال. عادةً لا يطلب العملاء مسبقًا أن يستخدم اسم المجال Let’s Encrypt فقط؛ إذا كانت السلسلة المزيفة لا تزال مقبولة، فإن CA الذي يستخدمه موقع الويب بالفعل لا يكفي لاستبعاد مثل هذه الهجمات. [8](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-8)

توضح هذه الآلية ما يلي: إن استبدال شهادة CA أخرى كانت طبيعية في الأصل لن يؤدي تلقائيًا إلى إصلاح ثقة العميل في CA التي تم اختراقها. ما يجب قطعه حقًا هو المسار الذي يمكن للعملاء من خلاله قبول الهويات المزيفة.

### يجب التعامل مع التأثيرات الثلاثة بشكل منفصل

**خطر انتحال الهوية:** قد يقبل العملاء الذين لم يحظروا السلسلة ذات الصلة الهوية التي قام المهاجم بتزويرها، مما يتسبب في إرسال طلبات حساسة إلى خدمات مزيفة.

**مخاطر توفر الخدمة المشروعة:** يمكن أن تؤدي إزالة ثقة الجذر إلى حدوث أخطاء في الشهادات لمواقع الويب الشرعية، والتي قد تحتاج إلى الترحيل إلى سلسلة أخرى مقبولة.

**مخاطر تغطية النشر:** قد يتم إصلاح نظام التشغيل بينما يحتفظ مخزن الثقة المضمن بالتطبيقات أو البيئة الافتراضية أو صورة الحاوية القديمة أو البرنامج المترجم بسلوك التحقق القديم.

هذه النطاقات الثلاثة ليست متطابقة. تغطي استجابة Cloudflare التحقق من الهوية عن بعد، ومخازن الثقة المشتركة، والصور الأساسية، والتطبيقات الفردية، مما يوضح سبب وجوب التعامل مع المهمتين الأخيرتين بشكل منفصل. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)

## 3 CA وموفري الشهادات المتأثرين

### المزود ونوع التأثير

| المزود أو النظام                                                 | دور في هذه الحادثة                                                                     | الحدود التي يجب تمييزها                                                                                                           |
| ---------------------------------------------------------------- | -------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------- |
| eMudhra／emSign                                                   | تم اختراق المفتاح الخاص CA بشكل مباشر.                                                 | لا يمكنك كتابة جميع جذور eMudhra وجميع الشهادات على أنها متصدعة                                                                   |
| سلسلة التوقيع المتبادل ذات الصلة بـ Sectigo                      | تم إصدار شهادة A المشتركة لنفس مجموعة المفاتيح العامة المتأثرة، مما يشكل مسار ثقة آخر. | يجب حظر الشهادة المتقاطعة أو المفتاح العام المقابل؛ لم يتم إثبات تعرض المفتاح الخاص الجذر Sectigo للاختراق.                       |
| مستويات الشهادات ذات الصلة بـ Internet2/InCommon                 | تعتمد بعض الشهادات الشرعية على جذر emSign ECC المراد إزالته، بما في ذلك الترحيل        | إنه تأثير جانبي لانعدام ثقة الجذر ولا يمكن اعتباره وسط تلك المفاتيح الثمانية الضعيفة CA                                           |
| Let's Encrypt، DigiCert، Google Trust Services، GlobalSign، إلخ. | لم يتم إدراجه باعتباره الطرف الذي تم اختراق مفتاحه الخاص في هذا التقرير                | لا يتم إبطال الشهادات الشرعية بشكل موحد؛ قد يستمر العملاء المعرضون للخطر في قبول شهادات مزيفة تنتحل صفة مواقع الويب التي يخدمونها |
| CDN، منصة سحابية، تاجر شهادات                                    | من المحتمل تقديم الشهادات ذات الصلة أو استخدام مخزن ثقة عام عند الاتصال بالأصل وAPI    | للتحقق من سلسلة الشهادات والمدقق الفعلي، لا تنظر فقط إلى النظام الأساسي أو اسم المنتج                                             |

يوثق إشعار Mozilla المفاتيح المخترقة والتوقيعات المتبادلة Sectigo. تتناول مناقشة الأحداث العامة في Google ترحيل التسلسلات الهرمية المشروعة لـ Internet2/InCommon. تعالج إصلاحات [2](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5) خدمة Cloudflare وثقة العميل؛ أنها لا تشير إلى اختراق مفاتيح Cloudflare الخاصة CA. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)

### سلسلة شهادات TLS والتوقيع المتبادل

تصف العلاقة التالية فقط المسارات المرتبطة بـ TLS هذه المرة. ولا يتضمن مسارات توقيع التعليمات البرمجية، ولا يعني أن هذه المسارات لا تزال موثوقة على جميع الأنظمة الأساسية. [17](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-17)

- `emSign ECC Root CA - G3` → `emSign Root TLS CA - G3` → المفتاح العام TLS المتوسط CA المتأثر → شهادة مزورة للمجال الهدف
- `AAA Certificate Services` → المفتاح العام TLS المتوسط CA المتأثر → شهادة مزورة للمجال الهدف

`emSign Root TLS CA - G3` هو أحد المُصدرين المباشرين للوسيطات TLS المتأثرة ويمكن أن يكون في حد ذاته مرساة ثقة في بعض المتاجر. يوفر `emSign ECC Root CA - G3` طبقة توقيع متقاطع أخرى. يقوم `AAA Certificate Services` الخاص بـ Sectigo بإنشاء مسار إضافي لنفس المفاتيح العامة CA. [17](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-17)

ولذلك، هناك نوعان من التفاصيل المختلفة عند الإصلاح:

- **حظر المفتاح CA المتوسط أو المفتاح العام:**، وهذا يمكن أن يحافظ على التسلسلات الهرمية الشرعية الأخرى تحت نفس الجذر، حيث يدعم المدقق هذه الآلية.
- **إزالة ثقة الجذر:** هذا يمكن أن يحمي العملاء الذين ليس لديهم إمكانات حظر CA المتوسطة، ولكن قد يؤثر على التوافق. يجب أيضًا تغطية كافة المسارات الأخرى التي يقبلها العميل. [5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

لا ينبغي اعتبار "حذف جميع جذور Sectigo/eMudhra" كخطوة عامة عشوائية، ولا ينبغي أن يعني مجرد حذف شهادة تحمل اسمًا مشابهًا أن جميع المسارات مغلقة.

## 4 نظام التشغيل وتغطية المتصفح

### المنصة الرئيسية

| منصة                                | التصرف المعروف                                                                        | النطاق الذي يجب التحقق منه عند الاستخدام                                                                                           |
| ----------------------------------- | ------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------- |
| Windows و Windows Server            | تم حظر توزيع Microsoft عبر التحديث التلقائي لقائمة الشهادات الموثوقة                  | ما إذا كان الجهاز قد تلقى التحديث؛ لا يستخدم CA bundle المستقل بالضرورة مسار التحقق Windows                                        |
| macOS، iOS، iPadOS، إلخ. منصة Apple | أكد منسق الحادث أن Apple قد نشر الحصار ذي الصلة                                       | لا نضمن حصول كل إصدار أقدم وتطبيق تابع لجهة خارجية على نفس التغطية                                                                 |
| Android                             | تقوم Google بتوزيع الكتل المكافئة من خلال خدمة Google Play                            | يجب التحقق من ROM بدون خدمة Google Play وفقًا لإعلان الشركة المصنعة؛ استخدم أداة التحقق المضمنة للتحقق الإضافي                     |
| Ubuntu                              | تم توفير إصلاحات حزمة شهادات النظام، بما في ذلك فروع الإصدار الحالي والقديم المتعددة  | يدعم الإصدار القديم من ESM الشروط وحزمة الشهادات الداخلية للحاوية ومكتبة التطبيقات المدمجة                                         |
| Debian و Devuan                     | تم تسجيل Debian لـ ca-certificates ثابتًا                                             | يجب عليك التحقق من الفرع الفعلي المستخدم والحزمة المثبتة، ولا يمكنك نسخ رقم إصدار فرع آخر.                                         |
| RHEL ومشتقاته                       | القائمة الرسمية هي RHEL 6، 7، 8، 9، 10، وتغطي المنتجات والصور ذات الصلة التي قد تتأثر | اعتبارًا من هذا الفحص، لم يدرج الإعلان بعد قائمة كاملة من الإصلاحات والأخطاء؛ لا يمكن اعتبار "لم يتم العثور على التحديث" غير متأثر |
| Fedora، Arch، Gentoo، Alpine، إلخ.  | قام مشرف الحدث بتجميع سجلات الإصلاح المقابلة                                          | تم تأكيده بشكل مستقل عن طريق الإصدار وفرع الإصدار والصورة                                                                          |
| FreeBSD                             | يسرد رسميًا كافة الإصدارات المدعومة ويوفر إصلاحات مخزن ثقة النظام                     | بعد التحديث، قم بإعادة تشغيل العملية الخفية ذات الصلة وفقًا للإعلان؛ تحقق من مخزن ثقة التطبيق المستقل بشكل منفصل.                  |

للحصول على ملخص عن Windows وApple والإصدارات، راجع [4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4)؛ بالنسبة إلى Android، راجع [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)؛ بالنسبة إلى Ubuntu وDebian وRHEL وFreeBSD يتم عرض سجلات المُصدر في [8](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-8)–[11](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-11) على التوالي.

تحتاج الأنظمة التي لم تعد مدعومة، والأجهزة غير المتصلة بالإنترنت، وNAS، وأجهزة التوجيه، والبيئات المدمجة الأخرى إلى تأكيد ما إذا كانت لا تزال تثق في السلسلة ذات الصلة وما إذا كانت لديها قنوات لتلقي الإلغاء أو تحديثات البرامج. اسم النظام الأساسي نفسه ليس بديلاً للتحقق من سلوك التحقق الفعلي.

### تختلف حماية المتصفح عن حماية نظام التشغيل

يستخدم Chrome CRLSet لتوزيع كتل الطوارئ؛ يستخدم Firefox آليات مثل OneCRL. تم أيضًا إصدار Firefox مع حظر المعلومات لتوفير حماية إضافية للتكوينات التي لا تتلقى الإعدادات عن بعد بشكل صحيح. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[3](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-3)

لم تقم بعض تكوينات Firefox Android بتطبيق القائمة المحدثة بشكل صحيح عند بدء التشغيل، والتي ذكر Mozilla أنه تم إصلاحها بواسطة 158.0.2. لذلك، لا يمكن توسيع حالة 158.0.1 المبكرة لتشمل كافة تكوينات Android Firefox المحمية. [2](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-2)

تم اتخاذ إجراءات للتحقق من نظام Apple وWindows، لكن هذا لا يعني أن جميع برامج سطر الأوامر الموجودة على نفس الجهاز ستخضع للتحقق من النظام. ذكر مشرف الحدث على وجه التحديد أن بعض الأدوات المدمجة في macOS تستخدم ملفات شهادات مستقلة؛ يجب تسجيل الواجهة الخلفية TLS الفعلية ومصدر CA عند التحقق. [4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4)

### الحدود الوقائية لشفافية الشهادة

أكدت Google أنه قبل تنفيذ الكتلة، لم تصدر TLS الوسيطة الستة CA شهادة TLS التي دخلت سجل CT. لذلك، يتمتع عملاء Chrome الذين يقومون بفرض CT بحماية إضافية. هذه الحقيقة لا تستبعد احتمال أن العملاء الآخرين الذين لم ينفذوا CT قد قبلوا شهادات غير موثقة. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

"اتضح أنه يمكن ربطه بالجذر الموثوق به"، و"توجد ظروف استغلال محتملة" و"حدث هجوم" هي ثلاثة أحكام مختلفة ولا ينبغي استبدال بعضها البعض.

## 5 بيئة التطوير وإصلاح خط الأساس في وقت التشغيل

ما يلي هو خط الأساس للإصلاحات المؤكدة وليس شرطًا لتثبيت هذه الإصدارات على المدى الطويل. قد تقوم التوزيعات بإصلاح أرقام الإصدارات الأقدم عن طريق إرجاع التصحيحات، ويجب أيضًا مراجعة تحذيراتها الأمنية.

| مكونات              | النسخة المؤكدة أو طريقة التحديث                                         | اعتبارات النشر                                                                                                                                                                                         |
| ------------------- | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Node.js 24          | 24.22.1 أو تحديث الإصدار الثابت من نفس الفرع                            | يحتوي على تحديثات مستودع الجذر ورفض سلاسل المفاتيح العامة المحظورة؛ تحقق من مسار Node الذي تستخدمه الخدمة بالفعل وأعد التشغيل                                                                          |
| Python certifi      | 2026.10.19 أو إصدار أحدث                                                | التحقق من كل بيئة تشغيل فعلية؛ لا يمكنك تحديث حزمة واحدة فقط ضمن Python العمومية                                                                                                                       |
| pip                 | 26.2.2 أو إصدار أحدث                                                    | قم بتحديث pip بشكل منفصل في البيئة الافتراضية القديمة ومراجعة الإصدار بعد إنشاء البيئة الجديدة                                                                                                         |
| uv                  | 0.13.4 أو إصدار أحدث                                                    | قم بتحديث نسخة من الأداة كما تم تثبيتها بالفعل                                                                                                                                                         |
| Go                  | 1.27.3 أو 1.26.10، الإصدار المحدث من الفرع المقابل متاح أيضًا           | أعد بناء البرامج ذات الصلة ونشرها بعد تحديث سلسلة الأدوات، أو احصل على برنامج الإصلاح الثنائي الخاص بالمورد                                                                                            |
| Oracle JDK          | تصحيحات Critical لخطوط الإصدار المدعومة المقابلة                        | يتبع ناشرو JDK المختلفون إعلاناتهم الخاصة؛ لا يوجد رقم إصدار واحد ينطبق على كافة إصدارات Java                                                                                                          |
| Cloudflare Tunnel   | cloudflared 2026.10.2 أو إصدار أحدث                                     | تحديث الخدمات قيد التشغيل؛ يتطلب نشر الحاوية استبدال الصورة وإعادة النشر                                                                                                                               |
| Cloudflare One／WARP | إصدار العميل الثابت المتوافق مع النظام الأساسي أو الإصدار الثابت المحدث | يتم تأكيد التدابير من جانب العميل والخادم بشكل منفصل. للحصول على إصدارات محددة من النظام الأساسي، راجع الملحق [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7) |

التعليمات الأصلية لـ Node، Python، Go، Oracle وCloudflare متوفرة على التوالي في [13](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-13)، [12](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-12)، [14](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-14)، [15](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-15)، [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7).

### مشكلة قاعدة بيانات الشهادات المستقلة Python

وأشار مسؤولو Python إلى أن pip القديم سيستخدم مزيجًا من ثقة النظام وcertifi المدمج. لا يمكن ببساطة تعديل مخزن شهادات النظام أو إضافة ملف CA إلى pip استبعاد الثقة القديمة المضمنة فيه بشكل موثوق. ولذلك، لا يمكن استخدام `PIP_CERT` أو `REQUESTS_CA_BUNDLE` أو `--cert` كبديل إصلاح عالمي للإصدار pip الأقدم. [12](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-12)

تحقق من البيئات الافتراضية الموجودة بعد التحديث. تحقق أيضًا من إصدار pip المثبت فعليًا في البيئات التي تم إنشاؤها حديثًا حتى لا تعيد مكونات التمهيد القديمة تقديم الأدوات الضعيفة. للترقية الأولية، اتبع مصادر التنزيل وخطوات التحقق من SHA-256 الواردة في إرشادات Python قبل تحديث الحزم الأخرى. [12](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-12)

### Go وغيرها من البرامج المترجمة

أدى إصلاح Go إلى تغيير منطق التحقق من الصحة لـ `crypto/x509`. [14](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-14) من منظور آلية النشر، لن يؤدي تحديث المترجم على جهاز التطوير إلى إعادة كتابة الثنائي الذي تم نشره بالفعل. للحصول على حظر طبقة التعليمات البرمجية الجديدة، يجب إعادة بناء التطبيق واستبداله، أو يجب استخدام إصدار محدث يوفره البائع. تعتمد قدرة البرنامج الأقدم أيضًا على الاستفادة من تحديثات جذر النظام على مسار التحقق الفعلي الذي يستخدمه.

### الحاويات والتطبيقات المعبأة

عادةً ما يتم تحديد حزمة شهادة النظام وتبعيات التطبيق ووقت التشغيل في الحاوية من خلال محتوى الصورة. تحديث المضيف لا يساوي تحديث محتوى الصورة؛ يجب تحديث الصورة الأساسية والتبعيات، ويجب إعادة بناء المثيل قيد التشغيل الفعلي ونشره وفحصه. يجب أيضًا تحديث التطبيقات المجمعة وبرامج سطح المكتب التي تأتي مع وقت التشغيل الخاص بها وفقًا لقنوات إصدار البائع. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)[10](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-10)

## 6 تعليمات تنفيذ الإصلاح

### تحديد كائن التفتيش أولا

يوصى بتسجيل المعلومات التالية للخدمات التي تحتاج إلى الحماية، ثم تحديد مسار الإصلاح المقابل. هذه قائمة مرجعية للنشر ولا تتطلب وجود جميع المكونات في كل نظام.

| مشروع                  | ما يجب تسجيله                                                                            |
| ---------------------- | ---------------------------------------------------------------------------------------- |
| التطبيقات والاستخدامات | المتصفح، عميل الدفع API، خدمة إرسال البريد الإلكتروني، أداة التنزيل، الوكيل العكسي، إلخ. |
| موقف التشغيل           | مضيف أو حاوية أو جهاز افتراضي أو تطبيق سطح مكتب أو جهاز محمول                            |
| التحقق من التنفيذ      | مدقق نظام التشغيل، مكتبة OpenSSL، Node، Python، Java أو التنفيذ المخصص للتطبيق           |
| مصدر موثوق             | حزمة النظام CA، certifi، مخزن الثقة JDK، CA bundle المدمج أو تكوين المؤسسة               |
| حالة الإصلاح           | الإصدار المثبت، مصدر التصحيح، سواء لإعادة التشغيل أو إعادة النشر                         |
| نتائج القبول           | ما إذا تم رفض السلسلة المتأثرة، وما إذا كان اتصال العمل العادي ناجحًا، ووقت التحقق       |

ينص دليل المطور لـ Cloudflare على وجه التحديد على أن SDK قد يفوض عملية التحقق إلى مكونات أخرى؛ فقط تحديث المستوى الأعلى SDK لا يغير بالضرورة سياسة الثقة الحقيقية. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)

### أنظمة التشغيل والمتصفحات

**Windows:** يقوم بتمكين التحديثات التلقائية لقائمة الشهادات الموثوقة والتحقق منها. توزيع التحديثات من خلال سياسات الإدارة المعمول بها. تحتاج الأجهزة غير المتصلة بالإنترنت أو الأجهزة التي تم تعطيل التحديثات التلقائية إليها إلى تطبيق الحظر من خلال عملية إدارة مناسبة. تحقق من البرامج التي لا تستخدم التحقق من صحة نظام Windows بشكل منفصل. [4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4)

**Apple النظام الأساسي:** تحديثات كاملة للنظام ومكونات الأمان والتطبيقات. بالنسبة لأدوات التطوير على macOS، تحقق أيضًا من الواجهة الخلفية TLS وملفات الشهادات ومصادر التثبيت. لا يمكن الحكم على أن الجهاز بأكمله قد تم إصلاحه لمجرد رفض Safari سلسلة الاختبار. [4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4)

**Android:** يقوم بتحديث خدمات Google Play على الأجهزة التي تحتوي عليها. ينص Google على أن إعادة تشغيل الجهاز يمكن أن يؤدي إلى إجراء تحديث فوري. بالنسبة للأجهزة التي لا تحتوي على هذه الخدمات، اتبع إرشادات البائع أو ROM؛ لا ينطبق بيان تغطية Google تلقائيًا على كل جهاز Android. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)

**Ubuntu/Debian:** قم بتحديث حزم الشهادات من المستودعات المدعومة وتحقق من النصائح الخاصة بالتوزيع المثبت. على سبيل المثال، يمكن للنظام المستند إلى APT استخدام:

```bash
sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificates
```

تعد التحديثات ذات الصلة لـ Ubuntu 22.04 و24.04 و26.04 و26.10 دعمًا قياسيًا؛ يجب أن تتحقق الإصدارات السابقة من دعم ESM وحالة المستودع. بعد انتهاء الأمر بنجاح، لا يزال يتعين عليك مقارنة إصدار حزمة الإصلاح في النشرة. [8](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-8)[9](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-9)

**RHEL والمنتجات ذات الصلة:** تحقق من حزمة الشهادات والأخطاء الأمنية حسب قناة المنتج. يمكن إجراء التحقق من الإصدار باستخدام:

```bash
rpm -q ca-certificates
```

استخدم آلية التحديث DNF/YUM المدعومة للحصول على تصحيحات البائع؛ إذا لم تقدم القناة إصلاحًا بعد، فلا تعتبر "عدم وجود حزمة قابلة للتحديث" أمرًا آمنًا. عندما يكون من الضروري إزالة ثقة الجذر مؤقتًا، فاعتمد الإجراءات المدرجة بوضوح من قبل الشركة المصنعة وقم بتقييم مدى توافق شهادات الأعمال المشروعة. [10](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-10)

**FreeBSD:** قم بتحديث فرع النظام ذي الصلة وفقًا لتوجيهات الاستشارة الرسمية، ثم أعد تشغيل البرامج باستخدام تكوين الثقة OpenSSL المتأثر أو أعد تشغيل النظام. [11](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-11)

### التطبيقات والصور

بعد إكمال تحديثات وقت التشغيل وتبعية الشهادة المقابلة، تحقق من مسار الملف القابل للتنفيذ حيث يتم تشغيل الخدمة بالفعل لتجنب تحول الجهاز إلى إصدار جديد واستمرار البرنامج الخفي في استخدام دليل التثبيت القديم. بالنسبة لبيئات Python المتعددة وحاويات الخدمة والتطبيقات التي تأتي مع وقت تشغيل خاص بها، يجب فحصها بشكل منفصل.

بالنسبة للمكونات التي تحتاج إلى إعادة بنائها، احفظ إصدار البنية وإصدار التبعية ومعرف صورة النشر. كائن القبول هو المثيل الفعلي قيد التشغيل ولا يمكنه فقط التحقق من العلامة الجديدة في جهاز الإنشاء أو سجل الصور. [7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)[12](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-12)[14](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-14)

### ترحيل شهادة موقع الويب

إذا كانت سلسلة موقع الويب تحتوي على CA الوسيط الذي تم إبطاله أو حظره، أو كانت تعتمد في النهاية على جذر غير موثوق به، فاحصل على سلسلة أخرى لا يزال العملاء يقبلونها. قم بتثبيت سلسلة شهادات الخادم الكاملة وتحقق من كل عملية إدخال، بما في ذلك موازنات التحميل والوكلاء العكسيين ونقاط نهاية CDN والأصول التي يمكن الوصول إليها مباشرة. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

يعتمد ما إذا كان الترحيل مطلوبًا على السلسلة الفعلية. قد تؤدي التصفية حسب العلامة التجارية لمبيعات الشهادات فقط إلى تفويت علاقات إعادة البيع أو التوقيع المتبادل؛ مجرد انتظار تجديد انتهاء الصلاحية المنتظم قد لا يؤدي بالضرورة إلى إكمال الترحيل قبل تحديث المتجر الجذر.

بالنسبة لشهادات مواقع الويب العادية الأخرى الصادرة عن CA والتي لا تعتمد على الجذر المتأثر، ليست هناك حاجة لإعادة التوقيع عليها بسبب هذا الحادث. وفي الوقت نفسه، يجب على خادم موقع الويب نفسه إجراء فحوصات الإصلاح من جانب العميل عند الاتصال بخدمات خارجية.

## 7 تحقق من أن الإصلاح ساري المفعول بالفعل

### يتم إجراء فحص الإصدار وفحص السلوك بشكل منفصل

تُستخدم عمليات التحقق من الإصدار للتأكد من نشر التصحيحات أو المكونات الثابتة؛ تُستخدم عمليات التحقق من السلوك للتأكد من أن التطبيق يستخدم بالفعل مسار التحقق المتوقع. يعمل الفحصان على حل مشكلات مختلفة، ولا يمكن استبدال أي منهما بـ "تم تنفيذ أمر التحديث بنجاح".

يوفر مشرف الحدث موقع الاختبار ومواد سلسلة الشهادات، ويتركز المدخل في الملحق [4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4). ويجب التحقق منها في بيئة التشغيل الفعلية للتطبيق المستهدف، مع الحفاظ على التكوين العادي للتحقق من الشهادة. [4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4)[7](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-7)

| التحقق من النتائج                                                             | الاستنتاجات التي يمكن استخلاصها                                                |
| ----------------------------------------------------------------------------- | ------------------------------------------------------------------------------ |
| رفض بشكل صريح لأن السلسلة المتأثرة غير موثوق بها                              | يشير إلى أن مسار التحقق الجاري اختباره رفض السلسلة                             |
| اقبل السلسلة المتأثرة بشكل طبيعي                                              | يشير إلى أن هذا المسار يحتاج إلى مواصلة الإصلاح أو فحص التكوين.                |
| خطأ DNS أو انتهاء مهلة الاتصال أو رفض الوكيل أو عدم إمكانية الوصول إلى الخدمة | ولا يمكن استنتاج أن مخاطر الشهادة قد تم التخلص منها بناءً على ذلك.             |
| يرفض المتصفح، ولكن لم يتم تحديد استدعاء التطبيق                               | يمكنه فقط تأكيد المتصفح، وليس برنامج الخلفية.                                  |
| تم رفض سلسلة A                                                                | لا تزال بحاجة إلى التفكير فيما إذا كان العميل يقبل مسارًا آخر للتوقيع المتبادل |

يجب أن يغطي الاختبار أيضًا اتصالات الأعمال العادية لتجنب الخلط بين جميع حالات فشل الطلبات حيث أن الإصلاحات الناجحة بعد فشل الأعمال ناتجة عن إزالة الكثير من الثقة.

### شروط الإكمال المقترحة

- تم توثيق مصدر التحديث وإصدار المكونات المتأثرة.
- تمت إعادة تشغيل المثيل الجاري تشغيله أو إعادة بنائه أو إعادة نشره.
- يرفض التطبيق الفعلي السلسلة المتأثرة، ويستمر التحقق من TLS للعمل العادي.
- لا يوجد أي تكوين لإيقاف التحقق من الشهادة مؤقتًا لاستعادة الاتصال.
- إذا كان الأمر يتعلق بترحيل شهادة موقع الويب، فسيتم تبديل جميع المداخل الخارجية والتحقق منها.

شروط الإنجاز المذكورة أعلاه هي اقتراحات للتشغيل والصيانة وقبول هذا التخلص؛ إنه لا يعادل إثبات أن المعدات لا تحتوي على مشكلات أخرى تتعلق بالسلامة.

## 8 حدود حركة المرور والمخاطر التاريخية HTTPS

### ثلاثة أنواع من المفاتيح لها استخدامات مختلفة

| مفتاح                | الغرض الرئيسي                                  |
| -------------------- | ---------------------------------------------- |
| CA المفتاح الخاص     | قم بتوقيع الهوية وربط المفتاح العام في الشهادة |
| المفتاح الخاص للموقع | إثبات هوية الخادم في شهادة مصافحة TLS          |
| مفتاح الجلسة         | حماية البيانات المنقولة فعليًا عبر الاتصال     |

الحصول على المفتاح الخاص CA لا يعادل الحصول على المفتاح الخاص لموقع الويب أو جميع مفاتيح الجلسة. لن يؤدي الاتصال العادي A مع السرية الأمامية باستخدام تبادل المفاتيح المؤقتة إلى كشف الجلسات التاريخية تلقائيًا ببساطة لأن مفتاح التوقيع طويل المدى قد تم اختراقه لاحقًا. للحصول على سمات الأمان ذات الصلة بـ TLS 1.3، راجع RFC 8446. [16](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-16)

الخطر الرئيسي هذه المرة يحدث أثناء مرحلة المصادقة: إذا قبل العميل شهادة الخادم المزيفة، فقد ينشئ اتصالاً مع المهاجم الذي لا يزال مشفرًا. يتطلب TLS 1.3 أيضًا مصادقة موثوقة؛ إن مجرد ترقية إصدار البروتوكول لا يعد بديلاً عن حظر CA.

### الأحكام التي يمكن ولا يمكن إصدارها في الوقت الحاضر

**تم التأكيد:** تم اختراق المفاتيح الخاصة المتوسطة المحددة CA؛ إن مسارات الثقة العامة المتضررة لها نطاق واسع؛ اتخذت المنصات الرئيسية والعديد من النظم الإيكولوجية للبرمجيات إجراءات. [1](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-1)[4](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-4)[5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

**لم تثبت هذه الحادثة:** أن جميع المستخدمين قد تعرضوا لهجمات وسيطة، أو أن مفاتيح CA الخاصة الأخرى قد تم اختراقها، أو أن كل حركة مرور HTTPS التاريخية قابلة لفك التشفير، أو أن تحديث متصفح واحد يحمي كل تطبيق على الجهاز.

يجب أن يستند الحكم النهائي بشأن خدمة معينة إلى سلسلة الشهادات الخاصة بها وسياسة التحقق والمكونات قيد التشغيل الفعلية وحالة التحديث، وليس فقط ما إذا كان شريط العناوين يقرأ HTTPS.

## الملحق A اسم CA الوسيط المتأثر

الأسماء التالية تساعد في فحص الأصول. لا تحل الأسماء محل بصمات الشهادات أو معرفات المفتاح العام. يجب أن تستخدم المطابقة التلقائية المعرفات الدقيقة التي ينشرها المشرفون على الحادث أو البائعون، بما في ذلك الشهادات الموقعة بشكل مشترك. [5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)

| الأوسط CA          | الغرض       | المنظمات المرتبطة |
| ------------------ | ----------- | ----------------- |
| EM EV TLS CA - G3B | TLS         | eMudhra BV        |
| EM OV TLS CA - G3B | TLS         | eMudhra BV        |
| EM DV TLS CA - G3B | TLS         | eMudhra BV        |
| EM EV TLS CA - G3C | TLS         | eMudhra Inc       |
| EM OV TLS CA - G3C | TLS         | eMudhra Inc       |
| EM DV TLS CA - G3C | TLS         | eMudhra Inc       |
| EM OV CS CA - G3B  | توقيع الرمز | eMudhra BV        |
| EM OV CS CA - G3C  | توقيع الرمز | eMudhra Inc       |

TLS ليس بالضبط نفس آلية التحقق من الصحة والإلغاء مثل توقيع التعليمات البرمجية. تركز هذه المقالة على HTTPS/TLS؛ يجب أن تعتمد بيئة توقيع التعليمات البرمجية Microsoft أو JDK أو بائعي البرامج ذات الصلة لغرض التحقق هذا، ولا ينبغي اعتبار نتائج اختبار المتصفح بمثابة قبول لتوقيع التعليمات البرمجية. [5](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-5)[15](https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide#source-15)

## الملحق B الرابط المرجعي

تم التحقق من المصادر التالية في 22 أكتوبر 2026. وقد يستمر تحديث الإعلان المتداول، ويجب فهم الحالة والإصدار في النص بناءً على تاريخ هذه الوثيقة.

### حقائق الحادث والتعامل مع المنصة

**\[1] Google Chrome وAndroid الإعلان الرسمي** يصف عيوب المفتاح الخاص، وحظر SPKI، وتوزيع خدمة Google Play، وحماية CT، وخطط إزالة مستودع الجذر Chrome. [Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates](https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/)

**\[2] Mozilla Bugzilla 2083449 سجل الأحداث** يحتوي على التقارير الأصلية والتحقق المستقل والتحقيق في عملية الإنشاء والإصلاحات اللاحقة لـ Firefox Android ومناقشات ترحيل الشهادات القانونية؛ ركز على التعليقات 5 و11 و29 و30. [eMudhra Private key compromise of Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)

**\[3] Mozilla Firefox إشعار الأمان** وصف توزيع الطوارئ OneCRL والتخلص اللاحق من Firefox/NSS. [Protecting Firefox users following the compromise of eMudhra intermediate certificates](https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/)

**\[4] منسق الأحداث Dennis Jackson بوابة ملخص الصيانة والكشف** يوفر تعليمات تكميلية حول حالة إصلاح النظام الأساسي والبرامج، والدخول للاختبار، ومواد سلسلة الشهادات العامة، والبيئات مثل Windows/macOS. تمثل نتائج الاختبار فقط مسارات التحقق الفعلية التي تم اختبارها. [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/)

**\[5] Mozilla إشعار لمشرفي التوزيع ومستودعات الثقة** يصف 6 TLS و2 رمز توقيع وسيط CA، Sectigo للتوقيع المتبادل، والإبطال، وحدود معالجة الثقة الجذرية، ويسرد الشهادة الدقيقة وتحديد المفتاح العام. [oss-security eMudhra Intermediates Compromise](https://www.openwall.com/lists/oss-security/2026/10/20/1)

**\[6] eMudhra بيان الحدث الرسمي** تقديم شرح أولي من الشركة المصنعة لعملية إنشاء المفتاح؛ سيظل السبب الجذري الدقيق خاضعًا لانتهاء التحقيق المكتمل. [eMudhra Statement on Recent Certificate Security Incident](https://emudhra.com/en/post/certificate-security-incident)

**\[7] Cloudflare التعليمات الرسمية للحوادث والإصلاح** يغطي WARP وCloudflare Tunnel والتحقق من موقع الأصل وتبعيات وقت التشغيل وتحديثات الصور وطرق التحقق. [8 eMudhra certificates are compromised Here is what you need to know](https://blog.cloudflare.com/emudhra-certificate-compromise/)

### أنظمة التشغيل والتوزيعات

**\[8] Ubuntu إعلان الإصلاح الرسمي** يسرد حزم إصلاح ca-certificates وقنوات الدعم وخطوات التحديث المستهدفة لكل إصدار. [eMudhra CA compromise fixes available](https://ubuntu.com/blog/emudhra-ca-compromise-fixes-available)

**\[9] Debian السجل الرسمي للمشاكل والإصلاح** يجب اعتبار سجل الإصلاح الخاص بالمشرف وحزمة الإصدار المقابلة كمعيار، ولا ينبغي اعتبار الاقتراحات المؤقتة المبكرة في مناقشة المشكلة بمثابة الحل النهائي. [Debian bug 1151413 eMudhra Intermediate CA key compromise](https://bugs.debian.org/1151413)

**\[10] Red Hat نشرة السلامة الرسمية RHSB 2026 012** يسرد RHEL 6 حتى 10، وتأثيرات المنتج والحاوية المرتبطة، وإدخالات التخلص المؤقتة والإصدار الإصلاحي. [Certificate compromise eMudhra](https://access.redhat.com/security/vulnerabilities/RHSB-2026-012)

**\[11] FreeBSD النشرة الأمنية الرسمية** توفير فروع النظام المتضررة وإصدارات الإصلاح ومتطلبات إعادة تشغيل الخدمة. [FreeBSD SA 26 73 caroot](https://www.freebsd.org/security/advisories/FreeBSD-SA-26:73.caroot.asc)

### وقت التشغيل والبروتوكولات

**\[12] Python وصف الحدث الرسمي** يوفر خطوط الأساس للإصلاح لـ pip، وcertifi، وuv، وما إلى ذلك، ويشرح مشكلة مخزن الثقة المستقل pip القديم، ويوفر طريقة الترقية الأولية مع التحقق من SHA-256. [Information for Python users regarding eMudhra emSign CA certificate security incident](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)

**\[13] Node.js 24.22.1 الإصدار الرسمي** يحتوي على تحديثات مخزن الجذر NSS ويرفض التغييرات التي تحتوي على سلاسل شهادات المفتاح العام المحظورة. [Node.js 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1)

**\[14] Go الإصدار الأمني الرسمي** وصف تحديث تصفية سلسلة الشهادات crypto/x509 لـ Go 1.27.3/1.26.10. [Go 1.27.3 and Go 1.26.10 are released](https://groups.google.com/g/golang-announce/c/66pojueaQek)

**\[15] Oracle JDK تعليمات التخلص الرسمية** اشرح التصحيح الحرج JDK وإجراءات التكوين ذات الصلة عندما لا يمكن ترقيته على الفور. [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra)

**\[16] TLS 1.3 معيار البروتوكول RFC 8446** راجع الملحق E.1 للحصول على إرشادات حول مصادقة الهوية وتبادل المفاتيح المؤقتة وسرية إعادة التوجيه. [The Transport Layer Security Protocol Version 1.3](https://www.rfc-editor.org/rfc/rfc8446.html)

**\[17] الشهادة الجذرية المتعلقة بالحدث وبيانات علاقة الإصدار** يُستخدم لفهم العلاقة بين المُصدر المباشر والتوقيع المتبادل؛ لا يمكن لحالة تضمين المتجر الجذر أن تحل محل حالة الإلغاء أو الحظر الأخيرة للعميل. [Root certificate relationships JSON](https://emudhra.we-have-a-problem.com/roots.json)

## استشارة صيانة الأمن

هل أنت غير متأكد من كيفية تأثير تغييرات الثقة في الشهادة على أنظمتك؟ يمكننا المساعدة في تقييم العملاء المتأثرين والتخطيط للتحديثات الأمنية.

[مناقشة التحديثات الأمنية](<https://keendigit.com/ar-eg/contact?service=security-remediation#form>)

[الصفحة الأصلية](<https://keendigit.com/ar-eg/insights/emudhra-ca-incident-remediation-guide>) · [فهرس المحتوى](<https://keendigit.com/ar-eg/llms.txt>)

KeenDigit LLC · معرف الايداع وايومنغ: 2026-002106155

[تحقق مع وزير خارجية وايومنغ](<https://wyobiz.wyo.gov/Business/filingSearch.aspx>)

© 2026 KeenDigit LLC · شيريدان، وايومنغ، الولايات المتحدة الأمريكية · جميع الحقوق محفوظة.