Mənbələr Pekin vaxtı ilə 22 oktyabr 2026-cı ildə yoxlanılıb. Audience: fərdi istifadəçilər, veb-sayt operatorları, tərtibatçılar və sistem administratorları.
Ciddi zəifliklər bir qrup eMudhra/emSign aralıq CA şəxsi açarlarını bərpa oluna bildi. Bu, vebsaytların, API-lərin və proqram təminatının autentifikasiyası üçün ictimai sertifikat sistemindən istifadə edən müştərilərə təsir edir. İctimai etimad əsas əməliyyat sistemlərini əhatə edir, lakin pozulmuş açarlar dəsti və potensial müştəri təsiri müxtəlif sahələrdir. 15
Əsas mətn müvafiq mənbələri nömrələmək üçün kvadrat mötərizələrdən istifadə edir və bütün xarici istinadlar əlavədə verilmişdir. Siyahıda göstərilən versiya, yoxlama tarixinə görə bu insident üçün düzəlişin olduğu təsdiqlənmiş əsas versiyadır. Yerləşdirmə zamanı eyni dəstəklənən filialda yenilənmiş stabil versiyaya üstünlük verilir.
TL;DR
E8 aralıq CA şəxsi açarının oğurlandığı təsdiqlənib. Cari hesabatlar kök özəl açarların və ya ümumiyyətlə HTTPS kriptoqrafiyasının pozulduğunu müəyyən etmir. Yeniləmələr ictimai inam ekosisteminin çox hissəsini əhatə edir; qalıq risk faktiki tətbiqdən asılıdır.15
- Fərdi istifadəçilər: brauzerləri, əməliyyat sistemlərini və təhlükəsizlik komponentlərini yeniləyir. Android-də Google Play xidmətlərini də yeniləyin. Firefox Android 158.0.2 və ya daha sonra istifadə edin. 12
- Servers: paylamanın
ca-certificates/NSS paketlərini yeniləyin və proqram təminatı ilə birləşdirilmiş etibar mağazalarını yoxlayın. Yalnız hostun güncəllənməsi kifayət deyil. 7810 - İnkişaf mühitləri: Node 24-ni 24.22.1-ə və ya müvafiq olaraq həmin filialda daha yeni buraxılışa yeniləyin. Python mühitlərində ən azı pip 26.2.2, certifi 2026.10.19 və uv 0.13.4-ə yeniləyin. Sabit Go ikili faylları əldə edin və ya onları yenidən qurun; Java-ni satıcının məsləhətinə əsasən yeniləyin. 12–15
- Yeniləmələri aktivləşdirin: təsirə məruz qalan xidmətləri yenidən başladın və konteynerləri yenidən qurun və yerləşdirin. Cloudflare Tunnel üçün cloudflared-ni 2026.10.2 və ya daha sonrakı versiyaya yeniləyin. 7
- Vebsayt sertifikatları:, ləğv edilmiş və ya bloklanmış aralıq CA ehtiva edirsə və ya etibarsız kökə əsaslanırsa, təsirə məruz qalan zənciri əvəz edir. Sertifikatın yenidən buraxılması müştəri etibar mağazalarının yenilənməsini əvəz etmir. 158
- Verification: hər bir tətbiqin faktiki TLS yolunu yoxlayın. Sertifikatın rədd edilməsini fasilələr və DNS uğursuzluqlarından fərqləndirin. Sertifikat doğrulamasını aktiv saxlayın;
-kistifadə etməyin və ya səhvləri aradan qaldırmaq üçün doğrulamanı atlamayın. 7
1 Hadisənin faktları və səbəbləri
təsdiqlənmiş faktlar
Mozilla və Google səkkiz eMudhra aralıq CA şəxsi açarında qüsurları təsdiqləyib. Tədqiqatçı xüsusi açar nəzarətinin sübutunu təqdim etdi; Mozilla müstəqil olaraq açarları bərpa etdi və problemi təkrarladı. Altı aralıq CA TLS, ikisi isə kod imzalanmasına xidmət edir. 25
Qüsur yaradılan açarlardadır: bu aralıq CA-lar P-384 əyrisindən istifadə edir, lakin onların şəxsi açarları 256-dan aşağı tam ədədlərdir. Bu, nəzərdə tutulan geniş diapazondan təsadüfi olaraq açarları təhlükəsiz seçməkdən uzaqdır. Bu zəif açarların bərpası düzgün yaradılmış P-384 açarlarının sındırıla biləcəyini nümayiş etdirmir. 2
Buradakı “sertifikat sındırılıb”, “müvafiq şəxsi açar bərpa edilə bilər” kimi dəqiq başa düşülməlidir. Sertifikat və içindəki açıq açar mahiyyət etibarilə açıqdır; həqiqətən gizli saxlanılmalı olan şey etibarlı imza yarada bilən şəxsi açardır.
Əsas nəsil prosesi problemləri hələ də araşdırılır
eMudhra-nin ilkin təsviri problemi 2025-ci ilin aprelində açar yaratma mərasimində izləyir. İzahat əsas inkapsulyasiya və dekapsulyasiya addımını əhatə edir: orijinal güclü açardan əlavə, daha bir zəif düymələr dəsti görünür və zəif düymələr sonradan sertifikatın tətbiqi və verilməsi üçün istifadə olunur. Şirkət hələ də dəqiq əsas səbəbin qəti şəkildə müəyyən edilmədiyini bildirib. 6
Buna görə də, müəyyən edilə bilən şey, bu açarların ciddi şəkildə zəif olması və güzəştə getməsidir; nasazlığı daha sonra HSM-nin müəyyən avadanlıq təsadüfi nömrə mənbəyi kimi təsvir etmək mümkün deyil, onun qüsurlu olduğu sübut edilib, nə də RSA, ECC və ya TLS-nin ümumi kriptoqrafik sıçrayışı kimi təsvir edilə bilməz.
Kök sertifikatına inamsızlıq nə deməkdir?
Brauzer və ya əməliyyat sistemi təsirə məruz qalmış aralıq CA-nin sertifikatını və ya açıq açarını birbaşa bloklaya bilər və ya onlara aparan əsas etibarı aradan qaldıra bilər. Sonuncu tədbir eyni kök altında bəzi qanuni sertifikatları da rədd edəcək.
Google CRLSet-dən yeniləmələri qəbul etməyən Chrome kök anbarının istifadəçilərini qorumaq üçün emSign ECC Root CA - G3-nin silinməsini planlaşdırıb. Kök anbarının çıxarılmasının Pekin vaxtı ilə oktyabrın 27-dən 28-dək olan müvafiq dövrdə sövq ediləcəyi gözlənilir; Google-nin ilkin vaxtı oktyabrın 27-nin səhəridir, ABŞ Sakit Okean Gün işığı vaxtıdır. Bu plan, əvvəllər tətbiq edilmiş təcili açıq açarın bloklanmasından ayrıdır. 1
Kökə inamsızlıq cavab tədbiridir; bu özü kök özəl açarının pozulduğunu sübut etmir.
2 Nəyə görə potensial təsir ictimai inam ekosistemini əhatə edir
Təhlükəli açarlar və təsirlənmiş etibar yolları
| Mühakimə obyekti | Bu hadisənin əhatə dairəsi |
|---|---|
| Problemli açar müəyyən edildi | eMudhra üçün 8 aralıq CA xüsusi açar |
| Fəaliyyət tələb edə bilən platformalar | İctimai kök mağaza, brauzer, əməliyyat sistemi, dil işləmə müddəti, proqram paketi və konteyner ekosistemi |
| TLS identifikasiyası ola bilər | Hələ də əlaqəli saxta sertifikat zəncirini qəbul edən müştərilərin ziyarət etdiyi vebsaytlar və ya xidmətlər |
| Bu o deməkdirmi ki, bütün cihazlar təhlükə altındadır? | Xeyr; etibar şərtləri, təcavüzkarın şəbəkə yeri və digər yoxlama strategiyaları istismar qabiliyyətini müəyyən edir |
| Bu o deməkdir ki, bütün hüquqi sertifikatlar etibarsızdır? | Xeyr; əlaqədar etibarsızlıq müştərinin hansı köklərə və ya sertifikat zəncirlərinə etibar etmədiyindən asılıdır. |
Red Hat istismarı müştərinin hələ də müvafiq zənciri qəbul etdiyi, təcavüzkarın pozulmuş şəxsi açara malik olduğu və şəbəkədəki əlaqəni kəsə bildiyi şərtlərlə açıq şəkildə məhdudlaşdırır. Riskin əhatə dairəsini baş vermiş hücumların sayı ilə qarışdırmaq olmaz. 10
Digər CA istifadə edən veb-saytlar da təqlid edilə bilər
Tutaq ki, vebsayt həqiqətən Let’s Encrypt sertifikatından istifadə edir və ziyarətçinin müştərisi eyni anda bir neçə ictimai CA-ə güvənir. Təcavüzkar eyni domen adı üçün başqa sertifikat yaratmaq üçün təhlükə altına alınmış ara CA-dən istifadə etməyə cəhd edə bilər. Müştərilər adətən domen adının yalnız Let’s Encrypt istifadə edə bilməsini əvvəlcədən tələb etmirlər; saxta zəncir hələ də qəbul edilirsə, veb-saytın əslində istifadə etdiyi CA bu cür hücumları istisna etmək üçün kifayət deyil. 8
Bu mexanizm izah edir: Əvvəlcə normal olan başqa CA sertifikatının dəyişdirilməsi müştərinin təhlükəyə məruz qalmış CA-ə olan etibarını avtomatik bərpa etməyəcək. Həqiqətən kəsilməli olan şey müştərilərin saxta şəxsiyyətləri qəbul etmələri üçün yoldur.
Üç təsirə ayrıca yanaşmaq lazımdır
İdentifikasiya riski: Müvafiq zənciri bloklamamış müştərilər təcavüzkar tərəfindən saxtalaşdırılmış şəxsiyyəti qəbul edə bilər və bu, həssas sorğuların saxta xidmətlərə göndərilməsinə səbəb ola bilər.
Qanuni xidmət əlçatanlığı riski: kök etibarının aradan qaldırılması başqa qanuni veb-saytlar üçün sertifikat xətalarına səbəb ola bilər ki, bu da başqa qəbul edilmiş zəncirə miqrasiya tələb edə bilər.
Yerləşdirmənin əhatə dairəsi riski: Tətbiqlə birləşdirilmiş güvən anbarı, virtual mühit, köhnə konteyner şəkli və ya tərtib edilmiş proqram köhnə təsdiqləmə davranışını saxladığı halda əməliyyat sistemi düzəldilə bilər.
Bu üç əhatə dairəsi eyni deyil. Cloudflare-nin cavabı uzaqdan şəxsiyyətin yoxlanılmasını, paylaşılan etibar anbarlarını, əsas şəkilləri və fərdi tətbiqləri əhatə edir və sonuncu iki tapşırığın niyə ayrıca icra edilməli olduğunu göstərir. 7
3 Təsirə məruz qalan CA və sertifikat təminatçıları
Təchizatçı və Təsir Növü
| provayder və ya sistem | Bu hadisədə rolu | Ayrılmalı olan sərhədlər |
|---|---|---|
| eMudhra／emSign | Aralıq CA şəxsi açarı birbaşa təhlükə altındadır. | Siz bütün eMudhra köklərini və bütün sertifikatları çatlamış kimi yaza bilməzsiniz |
| Sectigo ilə əlaqəli çarpaz imza zənciri | A çarpaz sertifikatı təsirə məruz qalmış ictimai açarların eyni toplusu üçün başqa bir güvən yolunu təşkil edərək verildi. | Müvafiq çarpaz sertifikat və ya açıq açar bloklanmalıdır; Sectigo kök şəxsi açarının təhlükəyə məruz qaldığı sübut olunmayıb. |
| Internet2/InCommon üçün müvafiq sertifikat səviyyələri | Bəzi qanuni sertifikatlar miqrasiya ilə bağlı silinəcək emSign ECC kökünə əsaslanır. | Bu, kök etibarsızlığının girov təsiridir və CA 8 zəif açarın ortası sayıla bilməz. |
| Let’s Encrypt, DigiCert, Google Trust Services, GlobalSign və s. | Bu hesabatda şəxsi açarı pozulmuş tərəf kimi qeyd edilməyib | Qanuni sertifikatlar birmənalı olaraq etibarsız hesab edilmir; həssas müştərilər hələ də xidmət etdikləri vebsaytları təqlid edən saxta sertifikatları qəbul edə bilərlər |
| CDN, bulud platforması, sertifikat dileri | Ola bilsin ki, mənşəyə və API-ə qoşulduqda müvafiq sertifikatlar təqdim edin və ya ictimai etibarlı mağazadan istifadə edin | Həqiqi sertifikat zəncirini və təsdiqləyicini yoxlamaq üçün sadəcə platformaya və ya məhsul adına baxmaqla kifayətlənməyin |
Mozilla-nin bildirişi pozulmuş açarları və Sectigo çarpaz imzalarını sənədləşdirir. Google-nin ictimai insident müzakirəsi qanuni Internet2/InCommon iyerarxiyalarının miqrasiyasını müzakirə edir. 25 Cloudflare ünvan xidməti və müştəri etibarını düzəldir; onlar Cloudflare-nin öz CA şəxsi açarlarının güzəştə getdiyini göstərmirlər. 7
TLS sertifikat zənciri və çarpaz imza
Aşağıdakı əlaqə bu dəfə yalnız TLS ilə əlaqəli yolları təsvir edir. Buraya kod imzalama yolları daxil deyil və bu o demək deyil ki, bu yollar hələ də bütün platformalarda etibarlıdır. 17
emSign ECC Root CA - G3→emSign Root TLS CA - G3→ Təsirə məruz qalan TLS Aralıq CA açıq açar → Hədəf domen üçün saxta sertifikatAAA Certificate Services→ Təsirə məruz qalan TLS Aralıq CA açıq açar → Hədəf domen üçün saxta sertifikat
emSign Root TLS CA - G3 təsirə məruz qalmış TLS aralıq məhsullarının birbaşa emitentidir və özü bəzi mağazalarda etibar lövbəri ola bilər. emSign ECC Root CA - G3 başqa bir çarpaz imzalama qatını təmin edir. Sectigo-nin AAA Certificate Services eyni aralıq CA açıq açarlarına əlavə yol yaradır. 17
Buna görə də, təmir edərkən iki fərqli dənəvərlik var:
- Dəqiq aralıq CA və ya açıq açarı bloklayın: bu, validatorun həmin mexanizmi dəstəklədiyi eyni kök altında digər qanuni iyerarxiyaları qoruya bilər.
- Kök etibarını silin: bu, CA aralıq bloklama imkanları olmayan müştəriləri qoruya bilər, lakin uyğunluğa təsir göstərə bilər. Müştərinin qəbul etdiyi bütün digər yollar da əhatə olunmalıdır. 5
“Bütün Sectigo/eMudhra köklərini silin” ayrıseçkilik etmədən ümumi addım kimi qəbul edilməməli və ya oxşar ada malik sertifikatın silinməsi bütün yolların bağlanması demək olmamalıdır.
4 Əməliyyat sistemi və brauzerin əhatə dairəsi
Əsas platforma
| Platforma | Məlum meyil | İstifadə edərkən yoxlanılmalı olan əhatə dairəsi |
|---|---|---|
| Windows və Windows Server | Microsoft Avtomatik Sertifikat Etibarlı Siyahı Güncəlləməsi ilə Dağıtım Bloklandı | Cihazın yeniləməni alıb-almaması; müstəqil CA bundle mütləq Windows yoxlama yolundan istifadə etmir |
| macOS, iOS, iPadOS və s. Apple platforması | İnsident koordinatoru Apple-nin müvafiq blokadanı yerləşdirdiyini təsdiqləyib. | Hər köhnə versiyaya və üçüncü tərəf tətbiqinə eyni əhatə dairəsini almağa zəmanət verilmir |
| Android | Google ekvivalent blokları Google Play xidməti vasitəsilə paylayır | Google Play xidməti olmayan ROM istehsalçının elanına uyğun olaraq yoxlanılmalıdır; əlavə yoxlama üçün daxili doğrulayıcıdan istifadə edin |
| Ubuntu | Çoxlu cari və köhnə versiya filialları daxil olmaqla, sistem sertifikatı paketi düzəlişləri təmin edilmişdir | ESM-in köhnə versiyası şərtləri, konteynerin daxili sertifikat paketini və tətbiqin daxili kitabxanasını dəstəkləyir. |
| Debian və Devuan | Debian qeyd edildi ca-certificates sabit | Siz faktiki istifadə olunan filialı və quraşdırılmış paketi yoxlamalı və başqa filialın versiya nömrəsini kopyalaya bilməzsiniz. |
| RHEL və törəmələri | Rəsmi siyahı RHEL 6, 7, 8, 9, 10-dur və təsirə məruz qala biləcək əlaqəli məhsulları və şəkilləri əhatə edir. | Bu yoxlamaya görə, elanda hələ düzəlişlərin və səhvlərin tam siyahısı göstərilməyib; “Yeniləmə tapılmadı” təsirsiz hesab edilə bilməz |
| Fedora, Arch, Gentoo, Alpine və s. | Tədbirin idarəçisi müvafiq təmir qeydlərini tərtib etmişdir | Buraxılış, versiya filialı və şəkil ilə müstəqil olaraq təsdiqlənir |
| FreeBSD | Rəsmi olaraq bütün dəstəklənən versiyaları sadalayır və sistem etibar mağazasının təmirini təmin edir | Yeniləmədən sonra elana uyğun olaraq müvafiq demon prosesini yenidən başladın; müstəqil proqram etibar mağazasını ayrıca yoxlayın. |
Windows, Apple və buraxılışların xülasəsi üçün baxın 4; Android üçün, bax 1; Ubuntu, Debian, RHEL və FreeBSD üçün Emitent qeydləri müvafiq olaraq 8–11-də göstərilir.
Artıq dəstəklənməyən sistemlər, oflayn cihazlar, NAS, marşrutlaşdırıcılar və digər daxili mühitlər müvafiq zəncirə hələ də etibar edib-etmədiklərini və ləğvetmə və ya proqram yeniləmələrini qəbul etmək üçün kanallarının olub-olmadığını təsdiqləməlidirlər. Platforma adının özü faktiki yoxlama davranışını yoxlamaq üçün əvəzedici deyil.
Brauzer mühafizəsi əməliyyat sisteminin qorunmasından fərqlidir
Chrome təcili blokları paylamaq üçün CRLSet istifadə edir; Firefox OneCRL kimi mexanizmlərdən istifadə edir. Firefox həmçinin uzaqdan parametrləri düzgün qəbul etməyən konfiqurasiyalar üçün əlavə qorunma təmin etmək üçün bloklama məlumatı ilə birlikdə buraxılmışdır. 13
Firefox Android-nin bəzi konfiqurasiyaları başlanğıcda yenilənmiş siyahını düzgün tətbiq etməmişdi, Mozilla bunu 158.0.2. tərəfindən düzəldilmişdir. Buna görə də, ilkin 158.0.1 statusu qorunan bütün Android Firefox konfiqurasiyalarını əhatə edəcək şəkildə genişləndirilə bilməz. 2
Apple və Windows sistemlərinin yoxlanılması üçün tədbirlər görülüb, lakin bu, eyni maşındakı bütün əmr xətti proqramlarının sistem yoxlanışından keçəcəyi demək deyil. Tədbirin aparıcısı xüsusi olaraq xatırlatdı ki, bəzi macOS daxili alətləri müstəqil sertifikat fayllarından istifadə edir; yoxlanarkən faktiki TLS arxa ucu və CA mənbəyi qeyd edilməlidir. 4
Sertifikat Şəffaflığı üçün Qoruyucu Sərhədlər
Google təsdiq etdi ki, bloku həyata keçirməzdən əvvəl altı TLS aralıq CA CT jurnalına daxil olan TLS sertifikatını vermədi. Buna görə də, CT-ni tətbiq edən Chrome müştəriləri əlavə qorunmaya malikdir. Bu fakt CT-ni icra etməyən digər müştərilərin sənədsiz sertifikatları qəbul etməsi ehtimalını istisna etmir. 15
“Məlum oldu ki, o, etibarlı köklə əlaqələndirilə bilər”, “potensial istismar şərtləri mövcuddur” və “hücum baş verib” üç fərqli mühakimədir və bir-biri ilə əvəz edilməməlidir.
5 İnkişaf mühiti və iş vaxtının təmiri üçün baza
Aşağıdakılar təsdiqlənmiş düzəlişlərin əsas xəttidir və bu buraxılışları uzun müddətə bağlamaq tələbi deyil. Distros yamaqları geri köçürməklə köhnə versiya nömrələrini düzəldə bilər və onların təhlükəsizlik məsləhətləri də nəzərdən keçirilməlidir.
| komponentlər | Təsdiqlənmiş versiya və ya yeniləmə üsulu | Yerləşdirmə mülahizələri |
|---|---|---|
| Node.js 24 | 24.22.1 və ya eyni filialın stabil versiyasını yeniləyin | Kök anbar yeniləmələrini və bloklanmış ictimai açar zəncirlərinin rədd edilməsini ehtiva edir; xidmət tərəfindən həqiqətən istifadə edilən Node yolunu yoxlayın və yenidən başladın |
| Python certifi | 2026.10.19 və ya daha yeni versiya | Hər bir faktiki çalışan mühiti yoxlayın; qlobal Python altında yalnız bir paketi yeniləyə bilməzsiniz |
| pip | 26.2.2 və ya daha yeni versiya | Köhnə virtual mühitdə pip-ni ayrıca yeniləyin və yeni mühit yaradıldıqdan sonra versiyanı nəzərdən keçirin |
| uv | 0.13.4 və ya daha yeni versiya | Alətin surətini həqiqətən quraşdırıldığı kimi yeniləyin |
| Go | 1.27.3 və ya 1.26.10, müvafiq filialın yenilənmiş versiyası da mövcuddur | Alətlər zəncirini yenilədikdən sonra müvafiq proqramları yenidən qurun və yerləşdirin və ya satıcının təmir binarını əldə edin |
| Oracle JDK | Müvafiq dəstəklənən versiya xətləri üçün Critical yamaqları | Müxtəlif JDK naşirləri öz elanlarını izləyir; bütün Java buraxılışlarına aid olan tək versiya nömrəsi yoxdur |
| Cloudflare Tunnel | cloudflared 2026.10.2 və ya daha yeni versiya | Çalışan xidmətləri yeniləmək; konteynerin yerləşdirilməsi şəklin dəyişdirilməsini və yenidən yerləşdirməyi tələb edir |
| Cloudflare One／WARP | Platformaya uyğun sabit müştəri versiyası və ya yenilənmiş stabil versiya | Müştəri tərəfi və server tərəfi tədbirləri ayrıca təsdiqlənir. Xüsusi platforma versiyaları üçün 7 əlavəsinə baxın |
Üçün orijinal təlimat Node , Python , Go , Oracle və Cloudflare müvafiq olaraq mövcuddur 13 , 12 , 14 , 15 , 7 .
Python müstəqil sertifikat verilənlər bazası problemi
Python rəsmiləri qeyd etdilər ki, köhnə pip sistem etibarı və quraşdırılmış certifi birləşməsindən istifadə edəcək. Sadəcə olaraq sistem sertifikatı anbarını dəyişdirmək və ya CA faylını pip-ə əlavə etmək onun daxili köhnə etibarını etibarlı şəkildə istisna edə bilməz. Buna görə də, PIP_CERT, REQUESTS_CA_BUNDLE və ya --cert köhnə pip üçün universal təmir əvəzi kimi istifadə edilə bilməz. 12
Yeniləmədən sonra mövcud virtual mühitləri yoxlayın. Köhnə yükləmə komponentlərinin həssas alətləri yenidən təqdim etməməsi üçün yeni yaradılmış mühitlərdə həqiqətən quraşdırılmış pip versiyasını da yoxlayın. İlkin təkmilləşdirmə üçün digər paketləri yeniləməzdən əvvəl Python məsləhətindəki yükləmə mənbələrini və SHA-256 yoxlama addımlarını izləyin. 12
Go və digər tərtib edilmiş proqramlar
Go üçün düzəliş crypto/x509 üçün doğrulama məntiqini dəyişdi. 14 Yerləşdirmə mexanizmi nöqteyi-nəzərindən inkişaf maşınında kompilyatorun yenilənməsi artıq yerləşdirilmiş binar faylı yenidən yazmayacaq. Yeni kod qatının bloklanmasını əldə etmək üçün proqram yenidən qurulmalı və dəyişdirilməli və ya satıcı tərəfindən təqdim edilən yenilənmiş versiyadan istifadə edilməlidir. Köhnə proqramın sistemin kök yeniləmələrindən də faydalanıb-yaxşılamaması onun istifadə etdiyi faktiki yoxlama yolundan asılıdır.
Konteynerlər və qablaşdırılmış proqramlar
Sistem sertifikat paketi, tətbiqdən asılılıqlar və konteynerdəki işləmə müddəti adətən görüntü məzmunu ilə müəyyən edilir. Host yeniləməsi şəkil məzmununun yenilənməsinə bərabər deyil; əsas şəkil və asılılıqlar yenilənməlidir və faktiki işləyən instansiya yenidən qurulmalı, yerləşdirilməli və yoxlanılmalıdır. Öz iş vaxtı ilə gələn qablaşdırılmış proqramlar və iş masası proqramları da satıcının buraxılış kanallarına uyğun olaraq yenilənməlidir. 710
6 Təmirin həyata keçirilməsi təlimatları
Əvvəlcə yoxlama obyektini müəyyənləşdirin
Qorunması lazım olan xidmətlər üçün aşağıdakı məlumatları qeyd etmək və sonra müvafiq təmir yolunu seçmək tövsiyə olunur. Bu, yerləşdirmə yoxlama siyahısıdır və bütün komponentlərin hər sistemdə olmasını tələb etmir.
| Layihə | Nəyi qeyd etmək lazımdır |
|---|---|
| Tətbiqlər və istifadələr | Brauzer, ödəniş API müştəri, e-poçt göndərmə xidməti, yükləmə aləti, əks proxy və s. |
| əməliyyat mövqeyi | Host, konteyner, virtual maşın, iş masası proqramı və ya mobil cihaz |
| Tətbiqi yoxlayın | Əməliyyat sistemi təsdiqləyicisi, OpenSSL, Node, Python kitabxanası, Java və ya tətbiqin xüsusi tətbiqi |
| etibarlı mənbə | Sistem CA paketi, certifi, JDK etibar mağazası, quraşdırılmış CA bundle və ya müəssisə konfiqurasiyası |
| Təmir vəziyyəti | Quraşdırılmış versiya, yamaq mənbəyi, yenidən başladın və ya yenidən yerləşdirilməsi |
| Qəbul nəticələri | Təsirə məruz qalan zəncirin rədd edilib-edilməməsi, normal biznes əlaqəsinin uğurlu olub-olmaması və yoxlama vaxtı |
Cloudflare üçün tərtibatçı təlimatı xüsusi olaraq bildirir ki, SDK yoxlamanı digər komponentlərə həvalə edə bilər; yalnız yüksək səviyyəli SDK-nin yenilənməsi əsl etibar siyasətini mütləq dəyişmir. 7
Əməliyyat sistemləri və brauzerlər
Windows: avtomatik sertifikat etibar siyahısı yeniləmələrini aktivləşdirin və yoxlayın. Müəyyən edilmiş idarəetmə siyasətləri vasitəsilə yeniləmələri paylayın. Oflayn cihazlar və ya avtomatik yeniləmələri söndürülmüş cihazlar müvafiq idarəetmə prosesi vasitəsilə tətbiq olunan bloka ehtiyac duyur. Windows sistem doğrulamasını ayrıca istifadə etməyən proqramları yoxlayın. 4
Apple Platforma: Tam sistem, təhlükəsizlik komponenti və proqram yeniləmələri. macOS üzərindəki inkişaf alətləri üçün onun TLS backendini, sertifikat fayllarını və quraşdırma mənbələrini də yoxlayın. Safari sınaq zəncirindən imtina etdiyi üçün bütün maşının təmir edildiyini mühakimə etmək olmaz. 4
Android: Google Play xidmətlərini ona malik olan cihazlarda yeniləyin. Google bildirir ki, cihazın yenidən başlaması dərhal yeniləməyə səbəb ola bilər. Bu xidmətləri olmayan cihazlar üçün satıcıya və ya ROM məsləhətinə əməl edin; Google-nin əhatə dairəsi bəyanatı avtomatik olaraq hər Android cihazına şamil edilmir. 1
Ubuntu/Debian: dəstəklənən repozitoriyalardan sertifikat paketlərini yeniləyin və quraşdırılmış paylama üçün məsləhəti yoxlayın. Məsələn, APT əsaslı sistem istifadə edə bilər:
sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificatesUbuntu 22.04, 24.04, 26.04 və 26.10 üçün müvafiq yeniləmələr standart dəstəkdir; əvvəlki versiyalar ESM dəstəyini və anbar statusunu yoxlamalıdır. Əmr uğurla başa çatdıqdan sonra siz hələ də bülletendə düzəliş paketi versiyasını müqayisə etməlisiniz. 89
RHEL və əlaqəli məhsullar: Məhsul kanalı üzrə sertifikat paketini və təhlükəsizlik səhvlərini yoxlayın. Versiya yoxlaması aşağıdakılardan istifadə etməklə edilə bilər:
rpm -q ca-certificatesSatıcı yamaqlarını əldə etmək üçün dəstəklənən DNF/YUM yeniləmə mexanizmindən istifadə edin; kanal hələ də düzəliş təqdim etməyibsə, “yenilənə bilən paket yoxdur”u təhlükəsiz hesab etməyin. Kök etibarını müvəqqəti olaraq aradan qaldırmaq lazım olduqda, istehsalçı tərəfindən aydın şəkildə sadalanan tədbirləri qəbul edin və qanuni biznes sertifikatlarının uyğunluğunu qiymətləndirin. 10
FreeBSD: rəsmi məsləhətin göstərişinə əsasən müvafiq sistem bölməsini yeniləyin, sonra təsirə məruz qalmış OpenSSL etibar konfiqurasiyasından istifadə edərək demonları yenidən başladın və ya sistemi yenidən başladın. 11
Proqramlar və şəkillər
Müvafiq icra müddəti və sertifikatdan asılılıq yeniləmələrini tamamladıqdan sonra terminalın yeni versiyaya keçməsinin və daemonun hələ də köhnə quraşdırma kataloqundan istifadə etməməsi üçün xidmətin həqiqətən işlədiyi icra edilə bilən fayl yolunu yoxlayın. Çox mühitli Python, xidmət konteynerləri və öz iş vaxtı ilə gələn proqramlar üçün onlar ayrıca yoxlanılmalıdır.
Yenidən qurulması lazım olan komponentlər üçün quraşdırma versiyasını, asılılıq versiyasını və yerləşdirmə şəkli ID-ni yadda saxlayın. Qəbul obyekti faktiki işləyən nümunədir və yalnız quraşdırma maşınında və ya şəkil reyestrində yeni etiketi yoxlaya bilməz. 71214
Veb sayt sertifikatının miqrasiyası
Veb sayt zəncirində ləğv edilmiş və ya bloklanmış ara CA varsa və ya nəticədə etibarsız kökə əsaslanırsa, müştərilərin hələ də qəbul etdiyi başqa zəncir əldə edin. Tam server sertifikatı zəncirini quraşdırın və yük balanslaşdırıcıları, əks proksilər, CDN son nöqtələri və birbaşa əlçatan mənşələr daxil olmaqla hər girişi yoxlayın. 15
Miqrasiyanın tələb edilib-edilməməsi faktiki zəncirə əsaslanır. Yalnız sertifikat satış markasına görə filtrləmə təkrar satış və ya çarpaz imzalama münasibətlərini qaçıra bilər; yalnız müntəzəm istifadə müddətinin yenilənməsini gözləmək kök anbarı yenilənməmişdən əvvəl miqrasiyanı mütləq başa çatdırmaya bilər.
CA tərəfindən verilmiş və təsirlənmiş kökə etibar etməyən digər normal veb-sayt sertifikatları üçün bu hadisəyə görə onları yenidən imzalamağa ehtiyac yoxdur. Eyni zamanda, veb-sayt serverinin özü hələ də xarici xidmətlərə zəng edərkən müştəri tərəfində təmir yoxlamaları aparmalıdır.
7 Düzəlişin həqiqətən qüvvəyə mindiyini yoxlayın
Versiya yoxlanışı və davranış yoxlanışı ayrıca həyata keçirilir
Versiya yoxlamaları yamaqların və ya sabit komponentlərin yerləşdirildiyini təsdiqləmək üçün istifadə olunur; davranış yoxlamaları tətbiqin həqiqətən gözlənilən yoxlama yolundan istifadə etdiyini təsdiqləmək üçün istifadə olunur. İki yoxlama müxtəlif problemləri həll edir və onların heç biri “Yeniləmə əmri uğurla icra edildi” ilə əvəz edilə bilməz.
Tədbirin idarəçisi sınaq sahəsi və sertifikat zəncirinin materiallarını təmin edir və giriş 4 əlavəsində cəmləşmişdir. Normal sertifikat yoxlama konfiqurasiyasını saxlayaraq, hədəf tətbiqin faktiki əməliyyat mühitində yoxlanılmalıdır. 47
| Nəticələri yoxlayın | Çıxarılan nəticələr |
|---|---|
| Təsirə məruz qalan zəncirə etibar edilmədiyi üçün açıq şəkildə rədd edin | Sınaq edilən yoxlama yolunun zənciri rədd etdiyini göstərir |
| Təsirə məruz qalan zənciri normal qəbul edin | Bu yolun təmirə davam etməli olduğunu və ya konfiqurasiyanın yoxlanılmasını göstərir. |
| DNS xətası, qoşulma fasiləsi, proksidən imtina və ya xidmət əlçatmaz | Bunun əsasında sertifikat riskinin aradan qaldırıldığı qənaətinə gəlmək olmaz. |
| Brauzer rədd edir, lakin proqram zəngi yoxlanılmır | O, yalnız brauzeri təsdiq edə bilər, fon proqramını yox. |
| A zənciri rədd edildi | Müştərinin başqa bir çarpaz imzalama yolunu qəbul edib-etmədiyini hələ də nəzərdən keçirmək lazımdır |
Test həm də bütün sorğu uğursuzluqlarını səhv salmamaq üçün normal iş əlaqələrini əhatə etməlidir, çünki iş uğursuzluqları həddindən artıq etibarın aradan qaldırılması nəticəsində baş verir.
Təklif olunan tamamlama şərtləri
- Təsirə məruz qalan komponentlərin yeniləmə mənbəyi və versiyası sənədləşdirilir.
- Müvafiq işləyən instansiya yenidən işə salınıb, yenidən qurulub və ya yenidən yerləşdirilib.
- Faktiki tətbiq təsirə məruz qalan zənciri rədd edir və normal biznes üçün TLS yoxlaması işləməyə davam edir.
- Bağlantını bərpa etmək üçün sertifikat yoxlamasını müvəqqəti olaraq söndürmək üçün konfiqurasiya yoxdur.
- Veb sayt sertifikatının miqrasiyası iştirak edirsə, bütün xarici girişlər dəyişdirilib və doğrulanıb.
Yuxarıdakı tamamlama şərtləri bu xaric üçün istismar və texniki xidmətin qəbulu üçün təkliflərdir; avadanlığın başqa heç bir təhlükəsizlik probleminin olmadığını sübut etməyə bərabər deyil.
8 Tarixi HTTPS trafik və risk sərhədləri
Üç növ açarın fərqli istifadəsi var
| açar | Əsas məqsəd |
|---|---|
| CA şəxsi açar | Sertifikatda identifikasiya və açıq açar bağlamasını imzalayın |
| Veb saytın şəxsi açarı | Sertifikat təsdiqlənmiş TLS əl sıxmasında server şəxsiyyətini sübut edin |
| sessiya açarı | Bağlantıda həqiqətən ötürülən məlumatları qoruyun |
CA şəxsi açarını əldə etmək vebsaytın şəxsi açarını və ya bütün sessiya açarlarını əldə etməyə bərabər deyil. A Müvəqqəti açar mübadiləsindən istifadə edərək irəli məxfilik ilə normal əlaqə, sadəcə olaraq, uzunmüddətli imzalama açarı sonradan pozulduğu üçün tarixi seansları avtomatik ifşa etməyəcək. TLS 1.3-nin müvafiq təhlükəsizlik atributları üçün RFC 8446-ə baxın. 16
Bu dəfəki əsas risk autentifikasiya mərhələsində baş verir: müştəri saxta serverin sertifikatını qəbul edərsə, o, hələ də şifrələnmiş təcavüzkarla əlaqə yarada bilər. TLS 1.3 həmçinin etibarlı autentifikasiya tələb edir; sadəcə olaraq protokol versiyasını təkmilləşdirmək CA blokunu əvəz etmir.
Hal-hazırda verilə bilən və edilə bilməyən hökmlər
Təsdiq edildi: xüsusi aralıq CA şəxsi açarları pozulub; təsirə məruz qalan ictimai etimad yolları geniş əhatəyə malikdir; əsas platformalar və bir neçə proqram ekosistemi hərəkətə keçdi. 145
Bu hadisə ilə müəyyən edilməmişdir: bütün istifadəçilərin ortada adam hücumlarına məruz qaldığını, digər CA şəxsi açarlarının oğurlandığını, bütün tarixi HTTPS trafikinin şifrəsini açmaq mümkün olduğunu və ya bir cihazdakı hər bir tətbiqin yenilənməsinin brauzerləri qoruduğunu.
Xüsusi xidmət haqqında yekun mühakimə onun sertifikat zəncirinə, yoxlama siyasətinə, faktiki işləyən komponentlərə və yeniləmə statusuna əsaslanmalıdır, nəinki ünvan çubuğunda HTTPS yazıb-oxuması yox.
Əlavə A Təsirə məruz qalan ara CA adı
Aşağıdakı adlar aktivlərin yoxlanılmasına kömək edir. Adlar sertifikat barmaq izlərini və ya açıq açar identifikatorlarını əvəz etmir. Avtomatlaşdırılmış uyğunlaşdırma, çarpaz imzalanmış sertifikatlar da daxil olmaqla, insident təminatçıları və ya satıcılar tərəfindən dərc edilmiş dəqiq identifikatorlardan istifadə etməlidir. 5
| Orta CA | Məqsəd | Əlaqədar təşkilatlar |
|---|---|---|
| EM EV TLS CA - G3B | TLS | eMudhra BV |
| EM OV TLS CA - G3B | TLS | eMudhra BV |
| EM DV TLS CA - G3B | TLS | eMudhra BV |
| EM EV TLS CA - G3C | TLS | eMudhra Inc |
| EM OV TLS CA - G3C | TLS | eMudhra Inc |
| EM DV TLS CA - G3C | TLS | eMudhra Inc |
| EM OV CS CA - G3B | kodun imzalanması | eMudhra BV |
| EM OV CS CA - G3C | kodun imzalanması | eMudhra Inc |
TLS kodun imzalanması ilə tam olaraq eyni təsdiqləyici və ləğvetmə mexanizmi deyil. Bu məqalənin diqqət mərkəzində HTTPS/TLS; kod imzalama mühiti bu yoxlama məqsədi üçün Microsoft, JDK və ya əlaqəli proqram təminatçılarını qəbul etməlidir və brauzer testinin nəticələri kod imzalanmasının qəbulu kimi qəbul edilməməlidir. 515
Əlavə B İstinad linki
Aşağıdakı mənbələr 22 oktyabr 2026-cı ildə təsdiq edilmişdir. Yayılan elan yenilənməyə davam edə bilər və mətndəki status və versiya bu sənədin tarixi əsasında başa düşülməlidir.
Hadisə faktları və platformanın idarə edilməsi
[1] Google Chrome və Android Rəsmi Elan Şəxsi açar çatışmazlıqları, SPKI bloklanması, Google Play xidmət paylanması, CT qorunması və Chrome kök anbarının silinməsi planlarını təsvir edir. Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates
[2] Mozilla Bugzilla 2083449 Hadisə qeydi Orijinal hesabatları, müstəqil yoxlamanı, generasiya prosesinin araşdırılmasını, Firefox Android üçün sonrakı düzəlişləri və hüquqi sertifikat miqrasiya müzakirələrini ehtiva edir; 5, 11, 29 və 30-cu şərhlərə diqqət yetirin. eMudhra Private key compromise of Intermediate Certificates
[3] Mozilla Firefox Təhlükəsizlik Bildirişi OneCRL fövqəladə paylanmasının təsviri və sonrakı Firefox/NSS utilizasiyası. Protecting Firefox users following the compromise of eMudhra intermediate certificates
[4] Hadisə koordinatoru Dennis Jackson Baxımın xülasəsi və aşkarlanması portalı Platforma və proqram təminatının təmiri statusu, sınaq girişi, ictimai sertifikat zənciri materialları və Windows/macOS kimi mühitlər haqqında əlavə təlimatlar təqdim edir. Test nəticələri yalnız sınaqdan keçirilmiş faktiki yoxlama yollarını əks etdirir. eMudhra Intermediate CA Compromise
[5] Mozilla Dağıtım və etibarlı mağaza sahiblərinə bildiriş 6 TLS və 2 kod imzalayan aralıq CA, Sectigo çarpaz imzalama, ləğvetmə və kök etibarının emal sərhədlərini təsvir edir və dəqiq sertifikatı və açıq açarın identifikasiyasını sadalayır. oss-security eMudhra Intermediates Compromise
[6] eMudhra Rəsmi Hadisə Bəyanatı Açar generasiya prosesi ilə bağlı istehsalçının ilkin izahatını vermək; Dəqiq əsas səbəb hələ tamamlanan araşdırmanın yekununa tabe olacaq. eMudhra Statement on Recent Certificate Security Incident
[7] Cloudflare Rəsmi insident və təmir təlimatları WARP, Cloudflare Tunnel, mənşə saytının yoxlanılması, icra müddətindən asılılıqlar, şəkil yeniləmələri və yoxlama üsullarını əhatə edir. 8 eMudhra certificates are compromised Here is what you need to know
Əməliyyat sistemləri və paylamalar
[8] Ubuntu Rəsmi Təmir Elanı Hər bir versiya üçün ca-certificates düzeltme paketlərini, dəstək kanallarını və hədəflənmiş yeniləmə addımlarını sadalayır. eMudhra CA compromise fixes available
[9] Debian Rəsmi problem və təmir qeydi Baxıcının düzəliş qeydi və müvafiq buraxılış paketi standart kimi qəbul edilməlidir və problemin müzakirəsində erkən müvəqqəti təkliflər son həll yolu kimi qəbul edilməməlidir. Debian bug 1151413 eMudhra Intermediate CA key compromise
[10] Red Hat Rəsmi Təhlükəsizlik Bülleteni RHSB 2026 012 RHEL 6-dən 10-a qədər əlaqəli məhsul və konteyner təsirlərini sadalayır və buraxılış və aralıq utilizasiya qeydlərini düzəldir. Certificate compromise eMudhra
[11] FreeBSD Rəsmi Təhlükəsizlik Bülleteni Təsirə məruz qalan sistem filiallarını, təmir versiyalarını və xidməti yenidən başlatma tələblərini təmin edin. FreeBSD SA 26 73 caroot
İcra vaxtı və protokollar
[12] Python Rəsmi hadisə təsviri pip, certifi, uv və s. üçün təmir əsaslarını təmin edir, köhnə pip müstəqil etibar mağazasının problemini izah edir və SHA-256 yoxlaması ilə ilkin təkmilləşdirmə metodunu təqdim edir. Information for Python users regarding eMudhra emSign CA certificate security incident
[13] Node.js 24.22.1 Rəsmi buraxılış NSS kök anbar yeniləmələrini ehtiva edir və bloklanmış açıq açar sertifikat zəncirlərini ehtiva edən dəyişiklikləri rədd edir. Node.js 24.22.1 security release
[14] Go Rəsmi təhlükəsizlik buraxılışı Təsvir crypto/x509 Go 1.27.3/1.26.10. üçün sertifikat zənciri filtrləmə yeniləməsi Go 1.27.3 and Go 1.26.10 are released
[15] Oracle JDK Rəsmi Utilizasiya Təlimatları JDK kritik yamağı və onu dərhal təkmilləşdirmək mümkün olmadıqda əlaqədar konfiqurasiya tədbirlərini izah edin. Distrusting eMudhra Intermediate Certificates in Oracle JDK
[16] TLS 1.3 Protokol standartı RFC 8446 Şəxsiyyətin doğrulanması, müvəqqəti açar mübadiləsi və ötürülmə sirri ilə bağlı təlimatlar üçün E.1 əlavəsinə baxın. The Transport Layer Security Protocol Version 1.3
[17] Hadisə ilə bağlı kök sertifikatı və buraxılış əlaqəsi məlumatları Birbaşa emitent və çarpaz imzalama əlaqəsini anlamaq üçün istifadə olunur; kök mağazanın daxil edilməsi statusu müştərinin ən son ləğvi və ya bloklanması statusunu əvəz edə bilməz. Root certificate relationships JSON