---
title: "eMudhra intermediate CA kompromi: impact lan remediation guide"
description: "Netepake dalan kapercayan sing kena pengaruh lan nganyari sistem operasi, browser, runtime, lan wadhah, kanthi mriksa validator sertifikat sing nyata."
language: "jv"
url: "https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide"
author: "KeenDigit"
published: "2026-10-22"
---

# eMudhra intermediate CA kompromi: impact lan remediation guide

Netepake dalan kapercayan sing kena pengaruh lan nganyari sistem operasi, browser, runtime, lan wadhah, kanthi mriksa validator sertifikat sing nyata.

**Sumber dicenthang tanggal 22 Oktober 2026, wektu Beijing.** **AAudience: pangguna individu, operator situs web, pangembang, lan administrator sistem.**

Kekirangan serius nggawe klompok eMudhra / emSign penengah CA tombol pribadi bisa dibalekake. Iki mengaruhi klien sing nggunakake sistem sertifikat umum kanggo otentikasi situs web, API, lan piranti lunak. Kepercayaan umum kalebu sistem operasi utama, nanging set kunci sing dikompromi lan dampak klien potensial beda-beda. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

Tèks utama nggunakake kurung kothak kanggo nomer sumber sing cocog, lan kabeh pranala referensi njaba kadhaptar ing lampiran. Versi sing kadhaptar minangka garis dasar versi sing dikonfirmasi ngemot fix kanggo kedadeyan iki wiwit tanggal verifikasi. Nalika nyebarake, prioritas diwenehi versi stabil sing dianyari ing cabang sing didhukung padha.

## TL;DR

**EWight penengah CA tombol pribadi dikonfirmasi kompromi. Laporan saiki ora nemtokake manawa kunci pribadi root utawa kriptografi HTTPS umume wis rusak. Nganyari kalebu akeh ekosistem kepercayaan umum; resiko residual gumantung ing aplikasi nyata.**[1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

1. **Panganggo individu:** nganyari browser, sistem operasi, lan komponen keamanan. Ing Android, nganyari uga layanan Google Play. Gunakake Firefox Android 158.0.2 utawa mengko. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[2](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-2)
2. **Server:** nganyari paket `ca-certificates`/NSS distribusi lan mriksa toko kapercayan sing dibundel aplikasi. Nganyari mung host ora cukup. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)[8](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-8)[10](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-10)
3. **Lingkungan pangembangan:** nganyari Node 24 menyang 24.22.1 utawa rilis sing luwih anyar ing cabang kasebut yen ditrapake. Ing lingkungan Python, nganyari paling sethithik pip 26.2.2, certifi 2026.10.19, lan uv 0.13.4. Entuk binari Go tetep utawa mbangun maneh; nganyari Java miturut Advisory vendor sawijining. [12](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-12)–[15](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-15)
4. **AAktifake nganyari:** miwiti maneh layanan sing kena pengaruh lan mbangun maneh lan nyebarake wadhah. Kanggo Cloudflare Tunnel, nganyari cloudflared menyang 2026.10.2 utawa mengko. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)
5. **Sertifikat situs web:** ngganti rantai sing kena pengaruh yen ngemot CA perantara sing dicabut utawa diblokir, utawa gumantung ing oyod sing ora dipercaya. Nerbitake maneh sertifikat ora ngganti nganyari toko kepercayaan klien. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)[8](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-8)
6. **Verifikasi:** nyoba jalur TLS sing nyata saben aplikasi. Mbedakake penolakan sertifikat saka wektu entek lan gagal DNS. Tansah verifikasi sertifikat aktif; aja nggunakake `-k` utawa skip verifikasi kanggo nyegah kasalahan. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)

## 1 Fakta lan panyebab kedadeyan kasebut

### kasunyatan dikonfirmasi

Mozilla lan Google wis ngonfirmasi cacat ing wolung kunci pribadi eMudhra penengah CA. Peneliti nyedhiyakake bukti kontrol kunci pribadi; Mozilla kanthi mandiri mbalekake kunci kasebut lan ngasilake masalah kasebut. Enem CA penengah nglayani TLS lan loro menehi tandha kode. [2](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

Cacat dumunung ing tombol kui: iki CA penengah nggunakake kurva P-384, nanging tombol pribadi sing wilangan bulat ngisor 256. Iki adoh saka aman milih tombol kanthi acak saka sawetara gedhe dimaksudaké. Mbalekake tombol sing ringkih iki ora nuduhake yen tombol P-384 sing digawe kanthi bener bisa rusak. [2](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-2)

"Sertifikat retak" ing kene kudu dingerteni kanthi tepat minangka "kunci pribadi sing cocog bisa dipulihake". Sertifikat lan kunci umum ing njerone umum; apa pancene kudu dirahasiakake yaiku kunci pribadi sing bisa ngasilake teken sing bener.

### Masalah proses generasi kunci isih diselidiki

Dhèskripsi dhisikan saka eMudhra nglacak masalah kanggo upacara generasi tombol ing April 2025. Panjelasan melu encapsulation tombol lan langkah decapsulation: saliyane tombol kuwat asli, pesawat liyane saka tombol banget katon, lan tombol banget sing banjur digunakake kanggo aplikasi certificate lan diterbitake. Perusahaan kasebut isih ujar manawa panyebab sing tepat durung ditemtokake. [6](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-6)

Mulane, apa sing bisa ditemtokake yaiku kunci kasebut pancen lemah lan wis dikompromi; Gagal ora bisa luwih diterangake minangka hardware tartamtu sumber nomer acak HSM wis mbuktekaken risak, utawa bisa diterangake minangka temonan cryptographic umum saka RSA, ECC utawa TLS.

### Apa tegese ora percaya sertifikat root?

Browser utawa sistem operasi bisa langsung mblokir sertifikat utawa kunci umum saka CA penengah kena pengaruh, utawa bisa mbusak kapercayan ROOT anjog kanggo wong-wong mau. Langkah terakhir uga bakal nolak sawetara sertifikat sah ing ROOT padha.

Google wis dijadwal kanggo mbusak `emSign ECC Root CA - G3` kanggo nglindhungi pangguna saka nyimpen ROOT Chrome sing ora nampa nganyari saka CRLSet. Ngilangi toko ROOT samesthine bakal di-push sajrone periode sing cocog saka 27 Oktober nganti 28, wektu Beijing; wektu asli Google yaiku esuk tanggal 27 Oktober, Wektu Awan Pasifik AS. Rencana iki kapisah saka pamblokiran kunci umum darurat sing wis ditrapake sadurunge. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)

**Distrusting root minangka ukuran respon; iku ora dhewe mbuktekaken sing ROOT kunci pribadi wis kompromi.**

## 2 Kenapa dampak potensial ngluwihi ekosistem kepercayaan publik

### Kunci sing dikompromi lan dalan kepercayaan sing kena pengaruh

| Obyek paukuman                             | Ruang lingkup kedadean iki                                                                               |
| ------------------------------------------ | -------------------------------------------------------------------------------------------------------- |
| Kunci masalah diidentifikasi               | 8 tombol pribadi CA penengah kanggo eMudhra                                                              |
| Platform sing mbutuhake tumindak           | Toko root umum, browser, sistem operasi, runtime basa, paket piranti lunak lan ekosistem wadah           |
| Identitas sing bisa ditiru TLS             | Situs web utawa layanan sing dibukak klien sing isih nampa rantai sertifikat palsu sing gegandhengan     |
| Apa tegese kabeh piranti wis dikompromi?   | Ora; kahanan kapercayan, lokasi jaringan penyerang, lan strategi verifikasi liyane nemtokake eksploitasi |
| Apa tegese kabeh sertifikat legal ora sah? | Ora; invalidation gadhah gumantung kang werna utawa certificate chain klien wis untrusted.               |

Red Hat kanthi tegas mbatesi eksploitasi kanggo kahanan nalika klien isih nampa rantai sing cocog, panyerang duwe kunci pribadi sing dikompromi, lan bisa nyegat sambungan ing jaringan kasebut. Jangkoan risiko ora bakal bingung karo jumlah serangan sing wis kedadeyan. [10](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-10)

### Situs web sing nggunakake CA liyane bisa uga ditiru

Upamane situs web bener-bener nggunakake sertifikat Let's Encrypt, lan klien pengunjung ngandelake sawetara CA umum ing wektu sing padha. Penyerang bisa nyoba nggunakake CA perantara sing dikompromi kanggo nggawe sertifikat liyane kanggo jeneng domain sing padha. Klien biasane ora mbutuhake luwih dhisik yen jeneng domain mung bisa nggunakake Let's Encrypt; yen chain palsu isih ditampa, kang CA website bener nggunakake ora cukup kanggo aturan metu serangan kuwi. [8](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-8)

Mekanisme iki nerangake: Ngganti sertifikat CA liyane sing asline normal ora bakal kanthi otomatis ndandani kapercayan klien ing CA sing kompromi. Apa pancene kudu dipotong yaiku dalan kanggo klien nampa identitas palsu.

### Telu efek kasebut kudu ditangani kanthi kapisah

**Risiko penyamaran identitas:** Klien sing durung ngalangi rantai sing cocog bisa nampa identitas palsu dening panyerang, nyebabake panjalukan sensitif dikirim menyang layanan palsu.

**Risiko kasedhiyan layanan sing sah:** mbusak kapercayan root bisa nyebabake kesalahan sertifikat kanggo situs web sing sah, sing mbutuhake migrasi menyang rantai liyane sing ditampa.

**Risiko jangkoan penyebaran:** sistem operasi bisa didandani nalika toko kapercayan sing dibundel aplikasi, lingkungan virtual, gambar wadhah lawas, utawa program sing dikompilasi nahan prilaku validasi lawas.

Telung ruang lingkup iki ora padha. Tanggepan Cloudflare nyakup validasi identitas remot, toko kepercayaan sing dienggo bareng, gambar dhasar, lan aplikasi individu, sing nggambarake kenapa rong tugas pungkasan kudu ditangani kanthi kapisah. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)

## 3 Sing kena pengaruh CA lan panyedhiya sertifikat

### Panyedhiya lan Jinis Dampak

| panyedhiya utawa sistem                                          | Peran ing kedadean iki                                                                                            | Wates sing kudu dibedakake                                                                                                      |
| ---------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------- |
| eMudhra／emSign                                                   | Tombol pribadi CA penengah dikompromi langsung.                                                                   | Sampeyan ora bisa nulis kabeh eMudhra werna lan kabeh sertifikat minangka retak                                                 |
| Sectigo gegandhengan chain salib-signature                       | A salib-sertifikat ditanggepi kanggo kumpulan padha tombol umum kena pengaruh, mbentuk path dateng liyane.        | Sertifikat silang utawa kunci umum sing cocog kudu diblokir; tombol pribadi ROOT Sectigo durung kabukten bakal kompromi.        |
| Tingkat sertifikat sing relevan kanggo Internet2/InCommon        | Sawetara sertifikat sah gumantung ing ROOT emSign ECC kanggo dibusak, nglibatno migrasi                           | Iki minangka akibat saka rasa ora percaya oyod lan ora bisa dianggep minangka tengah saka 8 tombol sing lemah CA                |
| Let's Encrypt, DigiCert, Google Trust Services, GlobalSign, lsp. | Ora kadhaptar minangka partai sing kunci pribadine dikompromi ing laporan iki                                     | Sertifikat sing sah ora sah sacara seragam; klien sing rawan isih bisa nampa sertifikat palsu sing niru situs web sing dilayani |
| CDN, platform awan, dealer sertifikat                            | Bisa uga menehi sertifikat sing cocog utawa nggunakake toko kepercayaan umum nalika nyambung menyang asal lan API | Kanggo mriksa rantai sertifikat lan validator sing nyata, aja mung ndeleng platform utawa jeneng produk                         |

Kabar Mozilla nyathet kunci sing dikompromi lan tandha silang Sectigo. Diskusi kedadean umum Google ngarahake migrasi hierarki Internet2/InCommon sing sah. [2](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5) Cloudflare ndandani layanan alamat lan kapercayan klien; padha ora nuduhake kompromi saka Cloudflare dhewe tombol pribadi CA. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)

### TLS rantai sertifikat lan tandha silang

Hubungan ing ngisor iki mung nggambarake dalan sing gegandhengan karo TLS wektu iki. Ora kalebu jalur tandha kode, lan ora ateges jalur kasebut isih dipercaya ing kabeh platform. [17](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-17)

- `emSign ECC Root CA - G3` → `emSign Root TLS CA - G3` → TLS Intermediate CA kunci publik sing kena pengaruh → Sertifikat palsu kanggo domain target
- `AAA Certificate Services` → TLS Intermediate CA kunci publik sing kena pengaruh → Sertifikat palsu kanggo domain target

`emSign Root TLS CA - G3` minangka salah sawijining sing ngetokake sekuritas langsung saka perantara TLS sing kena pengaruh lan bisa dadi jangkar kepercayaan ing sawetara toko. `emSign ECC Root CA - G3` nyedhiyakake lapisan tandha silang liyane. Sectigo `AAA Certificate Services` nggawe jalur tambahan menyang tombol umum CA penengah sing padha. [17](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-17)

Mulane, ana rong granularitas sing beda nalika ndandani:

- **Blokir CA penengah sing tepat utawa kunci umum:** iki bisa ngreksa hierarki sah liyane ing oyod sing padha, ing ngendi validator ndhukung mekanisme kasebut.
- **Mbusak kepercayaan root:** iki bisa nglindhungi klien tanpa kemampuan pamblokiran CA, nanging bisa uga mengaruhi kompatibilitas. Kabeh dalan liyane sing ditampa klien uga kudu ditutupi. [5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

"Busak kabeh werna Sectigo / eMudhra" ora kudu dijupuk minangka langkah umum sembarang, utawa mung mbusak certificate karo jeneng padha tegese kabeh dalan ditutup.

## 4 Sistem operasi lan jangkoan browser

### Platform utama

| Platform                                | Dikenal disposisi                                                                                                | Lingkup sing kudu dipriksa nalika nggunakake                                                                                                 |
| --------------------------------------- | ---------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------- |
| Windows lan Windows Server              | Distribusi Microsoft Diblokir liwat Update List Trust Certificate Otomatis                                       | Apa piranti nampa nganyari; mandiri CA bundle ora kudu nggunakake jalur verifikasi Windows                                                   |
| macOS, iOS, iPadOS, lsp. Platform Apple | Koordinator kedadean dikonfirmasi yen Apple wis masang blokade sing relevan                                      | Saben versi lawas lan aplikasi pihak katelu ora dijamin nampa jangkoan sing padha                                                            |
| Android                                 | Google nyebarake blok sing padha karo layanan Google Play                                                        | ROM tanpa layanan Google Play kudu diverifikasi miturut woro-woro pabrikan; gunakake verifier sing dibangun kanggo verifikasi tambahan       |
| Ubuntu                                  | Perbaikan paket sertifikat sistem wis diwenehake, kalebu sawetara cabang versi saiki lan lawas                   | Versi lawas ESM ndhukung kahanan, paket sertifikat internal wadah lan perpustakaan sing dibangun ing aplikasi                                |
| Debian lan Devuan                       | Debian direkam ca-certificates tetep                                                                             | Sampeyan kudu mriksa cabang nyata digunakake lan paket diinstal, lan sampeyan ora bisa nyalin nomer versi cabang liyane.                     |
| RHEL lan turunan                        | Dhaptar resmi yaiku RHEL 6, 7, 8, 9, 10, lan nyakup produk lan gambar sing gegandhengan sing bisa kena pengaruh. | Ing mriksa iki, woro-woro durung kadhaptar dhaftar lengkap mbenakake lan errata; "Update ora ditemokake" ora bisa dianggep ora kena pengaruh |
| Fedora, Arch, Gentoo, Alpine, lsp.      | Penyelenggara acara wis nyusun cathetan perbaikan sing cocog                                                     | Independen dikonfirmasi dening release, cabang versi lan gambar                                                                              |
| FreeBSD                                 | Resmi nampilake kabeh versi sing didhukung lan nyedhiyakake ndandani toko kepercayaan sistem                     | Sawise nganyari, miwiti maneh proses daemon sing cocog miturut woro-woro kasebut; mriksa toko kapercayan aplikasi independen kanthi kapisah. |

Kanggo ringkesan Windows, Apple lan release, ndeleng [4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4); kanggo Android, ndeleng [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1); kanggo Ubuntu, Debian, RHEL, lan FreeBSD Cathetan sing ngetokake sekuritas ditampilake ing [8](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-8)–[11](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-11).

Sistem sing ora didhukung maneh, piranti offline, NAS, router, lan lingkungan sing dipasang liyane kudu ngonfirmasi manawa dheweke isih percaya karo rantai sing cocog lan duwe saluran kanggo nampa pambatalan utawa nganyari piranti lunak. Jeneng platform kasebut dhewe ora minangka pengganti kanggo mriksa prilaku verifikasi sing nyata.

### Proteksi browser beda karo proteksi sistem operasi

Chrome nggunakake CRLSet kanggo nyebarake pamblokiran darurat; Firefox nggunakake mekanisme kayata OneCRL. Firefox uga wis dirilis kanthi informasi pamblokiran kanggo menehi pangayoman tambahan kanggo konfigurasi sing ora nampa setelan remot kanthi bener. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[3](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-3)

Sawetara konfigurasi Firefox Android ora ditrapake kanthi bener ing dhaptar sing dianyari nalika wiwitan, sing Mozilla nyatakake bakal diatasi dening 158.0.2. Mulane, status 158.0.1 awal ora bisa ditambahi kanggo nyakup kabeh konfigurasi Android Firefox sing dilindhungi. [2](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-2)

Ukuran wis dijupuk kanggo verifikasi sistem Apple lan Windows, nanging ora ateges kabeh program baris printah ing mesin padha bakal ngalami verifikasi sistem. Penyelenggara acara khusus ngelingake yen sawetara alat sing dibangun macOS nggunakake file sertifikat independen; backend TLS nyata lan sumber CA kudu direkam nalika mriksa. [4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4)

### Watesan Proteksi kanggo Transparansi Sertifikat

Google dikonfirmasi yen sadurunge ngleksanakake pamblokiran, enem TLS penengah CA ora ngetokake sertifikat TLS sing mlebu log CT. Mulane, klien Chrome sing ngetrapake CT duwe proteksi tambahan. Kasunyatan iki ora ngilangi kemungkinan klien liyane sing ora nindakake CT wis nampa sertifikat sing ora didokumentasikan. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

"Pranyata bisa disambungake karo oyod sing dipercaya", "kondisi eksploitasi potensial ana" lan "serangan wis kedadeyan" minangka telung pengadilan sing beda lan ora kudu diganti.

## 5 Lingkungan pangembangan lan garis dasar ndandani runtime

Ing ngisor iki minangka garis dasar perbaikan sing dikonfirmasi lan dudu syarat kanggo nggawe rilis kasebut ing jangka panjang. Distros bisa ndandani nomer versi lawas kanthi mindhah patch bali, lan saran keamanan uga kudu dideleng.

| komponen            | Versi sing dikonfirmasi utawa cara nganyari                                 | Pertimbangan penyebaran                                                                                                                                                                                |
| ------------------- | --------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Node.js 24          | 24.22.1 utawa nganyari versi stabil saka cabang padha                       | Ngandhut nganyari gudang root lan nolak gantungan kunci umum sing diblokir; mriksa Node path bener digunakake dening layanan lan miwiti maneh                                                          |
| Python certifi      | 2026.10.19 utawa versi anyar                                                | Priksa saben lingkungan mlaku nyata; sampeyan ora bisa nganyari mung siji paket ing global Python                                                                                                      |
| pip                 | 26.2.2 utawa versi anyar                                                    | Nganyari pip kanthi kapisah ing lingkungan virtual lawas lan deleng versi kasebut sawise lingkungan anyar digawe                                                                                       |
| uv                  | 0.13.4 utawa versi anyar                                                    | Nganyari salinan alat kasebut amarga wis diinstal                                                                                                                                                      |
| Go                  | 1.27.3 utawa 1.26.10, versi dianyari saka cabang sing cocog uga kasedhiya   | Gawe maneh lan pasang program sing cocog sawise nganyari chain alat, utawa entuk binar perbaikan vendor                                                                                                |
| Oracle JDK          | Patch Critical kanggo garis versi sing didhukung sing cocog                 | Penerbit JDK sing beda-beda ngetutake woro-woro dhewe; ora ana nomer versi siji sing ditrapake kanggo kabeh rilis Java                                                                                 |
| Cloudflare Tunnel   | cloudflared 2026.10.2 utawa versi anyar                                     | Nganyari layanan mlaku; penyebaran wadhah mbutuhake ngganti gambar lan redeploying                                                                                                                     |
| Cloudflare One／WARP | Versi klien tetep sing cocog karo platform utawa versi stabil sing dianyari | Ukuran sisih klien lan sisih server dikonfirmasi kanthi kapisah. Kanggo versi platform tartamtu, deleng lampiran [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7) |

Instruksi asli kanggo Node , Python , Go , Oracle lan Cloudflare mungguh kasedhiya ing [13](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-13) , [12](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-12) , [14](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-14) , [15](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-15) , [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7) .

### Python masalah database sertifikat independen

Pejabat Python nuduhake manawa pip lawas bakal nggunakake kombinasi kepercayaan sistem lan certifi sing dibangun. Mung ngowahi toko sertifikat sistem utawa nambah file CA menyang pip ora bisa dipercaya ngilangi kepercayaan lawas sing wis dibangun. Mulane, `PIP_CERT`, `REQUESTS_CA_BUNDLE` utawa `--cert` ora bisa digunakake minangka panggantos repair universal kanggo pip lawas. [12](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-12)

Priksa lingkungan virtual sing wis ana sawise nganyari. Priksa uga versi pip sing bener-bener diinstal ing lingkungan sing mentas digawe supaya komponen bootstrap sing lawas ora ngenalake maneh alat sing rawan. Kanggo upgrade awal, tututi sumber download lan langkah-langkah verifikasi SHA-256 ing saran Python sadurunge nganyari paket liyane. [12](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-12)

### Go lan program kompilasi liyane

Ndandani Go ngganti logika validasi kanggo `crypto/x509`. [14](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-14) Saka perspektif mekanisme penyebaran, nganyari compiler ing mesin pangembangan ora bakal nulis ulang binar sing wis disebarake. Kanggo entuk pamblokiran lapisan kode anyar, aplikasi kasebut kudu dibangun maneh lan diganti, utawa versi sing dianyari sing diwenehake vendor kudu digunakake. Apa program lawas uga bisa entuk manfaat saka nganyari root sistem gumantung saka jalur verifikasi sing digunakake.

### Wadhah lan aplikasi rangkep

Paket sertifikat sistem, dependensi aplikasi lan runtime ing wadhah biasane ditemtokake dening isi gambar. Nganyari host ora padha karo nganyari isi gambar; gambar dhasar lan dependensi kudu dianyari, lan Kayata mlaku nyata kudu dibangun maneh, disebarake, lan dicenthang. Aplikasi rangkep lan program desktop sing dilengkapi runtime dhewe uga kudu dianyari miturut saluran rilis vendor. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)[10](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-10)

## 6 Ndandani instruksi implementasine

### Temtokake obyek pamriksa dhisik

Disaranake kanggo ngrekam informasi ing ngisor iki kanggo layanan sing kudu dilindhungi, banjur pilih path repair cocog. Iki minangka dhaptar priksa penyebaran lan ora mbutuhake kabeh komponen ana ing saben sistem.

| Proyek                    | Apa sing kudu direkam                                                                                 |
| ------------------------- | ----------------------------------------------------------------------------------------------------- |
| Aplikasi lan panggunaan   | Browser, klien pembayaran API, layanan ngirim email, alat download, proxy mbalikke, lsp.              |
| posisi operasi            | Host, wadhah, mesin virtual, aplikasi desktop utawa piranti seluler                                   |
| Verifikasi implementasine | Validator sistem operasi, OpenSSL, Node, perpustakaan Python, Java utawa implementasi khusus aplikasi |
| sumber dipercaya          | Paket sistem CA, certifi, toko kepercayaan JDK, dibangun ing CA bundle utawa konfigurasi perusahaan   |
| Status ndandani           | Versi sing wis diinstal, sumber tembelan, arep miwiti maneh utawa redeploy                            |
| Asil ditampa              | Apa chain kena pengaruh ditolak, apa sambungan bisnis normal sukses, lan wektu mriksa                 |

Pandhuan pangembang kanggo Cloudflare kanthi khusus nyatakake yen SDK bisa utusan verifikasi menyang komponen liyane; mung nganyari SDK tingkat paling dhuwur ora kudu ngganti kabijakan kepercayaan nyata. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)

### Sistem operasi lan browser

**Windows:** ngaktifake lan verifikasi nganyari dhaptar kapercayan sertifikat otomatis. Nyebarake nganyari liwat kabijakan manajemen sing wis ditemtokake. Piranti offline utawa piranti kanthi nganyari otomatis dipateni mbutuhake blokir sing ditrapake liwat proses manajemen sing cocog. Priksa program sing ora nggunakake validasi sistem Windows kanthi kapisah. [4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4)

**Apple Platform:** Sistem lengkap, komponen keamanan lan nganyari aplikasi. Kanggo alat pangembangan ing macOS, priksa uga backend TLS, file sertifikat lan sumber instalasi. Ora bisa dianggep manawa kabeh mesin wis didandani mung amarga Safari wis nolak chain test. [4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4)

**Android:** nganyari layanan Google Play ing piranti sing duwe. Google nyatakake yen miwiti maneh piranti bisa micu nganyari langsung. Kanggo piranti tanpa layanan kasebut, tindakake vendor utawa Advisory ROM; Pranyatan jangkoan Google ora ditrapake kanthi otomatis ing saben piranti Android. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)

**Ubuntu/Debian:** nganyari paket sertifikat saka repositori sing didhukung lan mriksa advisory kanggo distribusi sing diinstal. Contone, sistem basis APT bisa nggunakake:

```bash
sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificates
```

Nganyari sing relevan kanggo Ubuntu 22.04, 24.04, 26.04, lan 26.10 minangka dhukungan standar; versi sadurungé kudu mriksa dhukungan ESM lan status gudang. Sawise printah rampung kanthi sukses, sampeyan isih kudu mbandhingake versi paket fix ing buletin. [8](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-8)[9](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-9)

**RHEL lan produk sing gegandhengan:** Priksa paket sertifikat lan kesalahan keamanan miturut saluran produk. Priksa versi bisa ditindakake kanthi nggunakake:

```bash
rpm -q ca-certificates
```

Gunakake mekanisme nganyari DNF / YUM sing didhukung kanggo entuk patch vendor; yen saluran durung kasedhiya fix, ora nimbang "ora paket nganyari" aman. Yen perlu kanggo mbusak kapercayan ROOT, gunakake langkah-langkah sing didaftar kanthi jelas dening pabrikan lan ngevaluasi kompatibilitas sertifikat bisnis sing sah. [10](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-10)

**FreeBSD:** nganyari cabang sistem sing cocog kaya sing diarahake dening penasehat resmi, banjur miwiti maneh daemon nggunakake konfigurasi kepercayaan OpenSSL sing kena pengaruh utawa urip maneh sistem. [11](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-11)

### Aplikasi lan gambar

Sawise ngrampungake runtime sing cocog lan nganyari dependensi sertifikat, priksa path file eksekusi ing ngendi layanan kasebut bener-bener mlaku supaya terminal wis ngalih menyang versi anyar lan daemon isih nggunakake direktori instalasi lawas. Kanggo multi-lingkungan Python, kontaner layanan lan aplikasi sing teka karo runtime dhewe, padha kudu dicenthang dhewe.

Kanggo komponen sing kudu dibangun maneh, simpen versi mbangun, versi dependensi, lan ID gambar penyebaran. Obyek sing ditampa minangka conto sing bener lan ora bisa mung mriksa tag anyar ing mesin mbangun utawa registri gambar. [7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)[12](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-12)[14](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-14)

### Migrasi sertifikat situs web

Yen rantai situs web ngemot CA perantara sing dicabut utawa diblokir, utawa pungkasane gumantung ing oyod sing ora dipercaya, entuk rantai liyane sing isih ditampa dening klien. Instal chain sertifikat server lengkap lan mriksa saben mlebu, kalebu load balancers, proxy mbalikke, CDN endpoints, lan asal langsung diakses. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

Apa migrasi dibutuhake adhedhasar rantai nyata. Nyaring mung dening merek dodolan sertifikat bisa uga ora ana hubungane adol maneh utawa tandha silang; mung nunggu nganyari maneh kadaluwarsa biasa ora kudu ngrampungake migrasi sadurunge nyimpen ROOT dianyari.

Kanggo sertifikat situs web normal liyane sing ditanggepi CA sing ora gumantung ing oyod sing kena pengaruh, ora perlu mlebu maneh amarga kedadeyan kasebut. Ing wektu sing padha, server situs web dhewe isih kudu nindakake mriksa perbaikan sisih klien nalika nelpon layanan eksternal.

## 7 Priksa manawa ndandani bener-bener ditrapake

### Priksa versi lan mriksa prilaku ditindakake kanthi kapisah

Priksa versi digunakake kanggo konfirmasi manawa patch utawa komponen tetep wis dipasang; mriksa prilaku digunakake kanggo konfirmasi sing aplikasi bener nggunakake path verifikasi samesthine. Loro mriksa ngatasi masalah sing beda-beda, lan ora ana sing bisa diganti karo "Update printah kasil dieksekusi".

Penyelenggara acara nyedhiyakake situs tes lan bahan rantai sertifikat, lan lawang mlebu dikonsentrasi ing lampiran [4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4). Sampeyan kudu diverifikasi ing lingkungan operasi nyata saka aplikasi target, njaga konfigurasi verifikasi sertifikat normal. [4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4)[7](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-7)

| Priksa asil                                                                          | Kesimpulan sing bisa ditarik                                               |
| ------------------------------------------------------------------------------------ | -------------------------------------------------------------------------- |
| Tolak kanthi jelas amarga rantai sing kena pengaruh ora dipercaya                    | Nuduhake yen jalur verifikasi sing diuji ditolak chain kasebut             |
| Nampa chain sing kena pengaruh biasane                                               | Nuduhake yen dalan iki kudu terus didandani utawa konfigurasi dicenthang.  |
| kesalahan DNS, wektu entek sambungan, penolakan proxy utawa layanan ora bisa digayuh | Ora bisa disimpulake manawa risiko sertifikat wis diilangi adhedhasar iki. |
| Browser nolak, nanging telpon app ora dicenthang                                     | Iku mung bisa konfirmasi browser, ora program latar mburi.                 |
| Rantai A ditolak                                                                     | Isih kudu nimbang apa klien nampa path salib liyane                        |

Tes kasebut uga kudu nutupi sambungan bisnis normal supaya ora salah kabeh panjaluk amarga ndandani sukses sawise kegagalan bisnis disebabake kanthi ngilangi kepercayaan.

### Kahanan rampung sing disaranake

- Sumber nganyari lan versi komponen sing kena pengaruh didokumentasikake.
- Kayata mlaku sing cocog wis diwiwiti maneh, dibangun maneh, utawa dipasang maneh.
- Aplikasi nyata nolak rantai sing kena pengaruh, lan verifikasi TLS kanggo bisnis normal terus mlaku.
- Ora ana konfigurasi kanggo mateni sementara verifikasi sertifikat kanggo mulihake sambungan kasebut.
- Yen migrasi sertifikat situs web melu, kabeh lawang njaba wis diuripake lan diverifikasi.

Kahanan rampung ing ndhuwur minangka saran kanggo operasi lan pangopènan sing ditampa kanggo pembuangan iki; iku ora padha karo mbuktekaken sing peralatan ora masalah safety liyane.

## 8 Sajarah HTTPS lalu lintas lan wates resiko

### Telung jinis tombol duwe panggunaan sing beda

| kuncine                 | Tujuan utama                                                            |
| ----------------------- | ----------------------------------------------------------------------- |
| CA kunci pribadi        | Tandhani identitas lan ikatan kunci publik ing sertifikat               |
| Kunci pribadi situs web | Mbuktekaken identitas server ing sertifikat bukti asli TLS jabat tangan |
| kunci sesi              | Nglindhungi data sing bener dikirim ing sambungan                       |

Entuk kunci pribadi CA ora padha karo njupuk kunci pribadi situs web utawa kabeh kunci sesi. Sambungan normal A kanthi rahasia maju nggunakake ijol-ijolan kunci sauntara ora bakal mbukak sesi sejarah kanthi otomatis mung amarga kunci tandha jangka panjang mengko dikompromi. Kanggo atribut keamanan TLS 1.3 sing cocog, deleng RFC 8446. [16](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-16)

Resiko utama wektu iki kedadeyan sajrone fase otentikasi: yen klien nampa sertifikat server palsu, bisa uga nggawe sambungan karo panyerang sing isih dienkripsi. TLS 1.3 uga mbutuhake bukti asli sing dipercaya; mung nganyarke versi protokol ora sulih kanggo pamblokiran CA.

### Putusan sing bisa lan ora bisa ditindakake saiki

**Konfirmasi:** tombol pribadhi penengah CA tartamtu dikompromi; dalan kepercayaan umum sing kena pengaruh duwe jangkauan sing wiyar; platform utama lan sawetara ekosistem lunak wis njupuk tindakan. [1](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-1)[4](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-4)[5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

**Ora ditetepake kanthi kedadeyan iki:** manawa kabeh pangguna wis ngalami serangan man-in-the-middle, manawa kunci pribadi CA liyane dikompromi, manawa kabeh lalu lintas HTTPS sejarah bisa didekripsi, utawa nganyari aplikasi ing siji browser nglindhungi saben piranti.

Paukuman pungkasan babagan layanan tartamtu kudu adhedhasar rantai sertifikat, kabijakan verifikasi, komponen aktif sing nyata lan status nganyari, ora mung yen bar alamat maca HTTPS.

## Lampiran A Jeneng penengah CA sing kena pengaruh

Jeneng ing ngisor iki mbantu mriksa aset. Jeneng ora ngganti sidik jari sertifikat utawa pengenal kunci umum. Pencocokan otomatis kudu nggunakake pengenal pas sing diterbitake dening pangurus utawa vendor kedadeyan, kalebu sertifikat sing ditandatangani salib. [5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)

| Tengah CA          | tujuane     | Organisasi sing gegandhengan |
| ------------------ | ----------- | ---------------------------- |
| EM EV TLS CA - G3B | TLS         | eMudhra BV                   |
| EM OV TLS CA - G3B | TLS         | eMudhra BV                   |
| EM DV TLS CA - G3B | TLS         | eMudhra BV                   |
| EM EV TLS CA - G3C | TLS         | eMudhra Inc                  |
| EM OV TLS CA - G3C | TLS         | eMudhra Inc                  |
| EM DV TLS CA - G3C | TLS         | eMudhra Inc                  |
| EM OV CS CA - G3B  | tandha kode | eMudhra BV                   |
| EM OV CS CA - G3C  | tandha kode | eMudhra Inc                  |

TLS ora persis karo validator lan mekanisme pancabutan sing padha karo tandha kode. Fokus artikel iki yaiku HTTPS/TLS; lingkungan tandha kode kudu nganggo Microsoft, JDK utawa vendor piranti lunak sing gegandhengan kanggo tujuan verifikasi iki, lan asil test browser ora kudu dianggep minangka acceptance tondo asto kode. [5](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-5)[15](https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide#source-15)

## Lampiran B link Referensi

Sumber ing ngisor iki diverifikasi tanggal 22 Oktober 2026. Pengumuman sing terus-terusan bisa terus dianyari, lan status lan versi ing teks kasebut kudu dimangerteni adhedhasar tanggal dokumen iki.

### Fakta kedadean lan penanganan platform

**\[1] Google Chrome lan Android Pengumuman Resmi** Njlèntrèhaké cacat kunci pribadi, pamblokiran SPKI, distribusi layanan Google Play, pangayoman CT, lan rencana mbusak repositori ROOT Chrome. [Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates](https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/)

**\[2] Mozilla Bugzilla 2083449 Rekaman acara** Ngandhut laporan asli, verifikasi independen, investigasi proses generasi, perbaikan sabanjure kanggo Firefox Android, lan diskusi migrasi sertifikat legal; fokus ing komentar 5, 11, 29, lan 30. [eMudhra Private key compromise of Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)

**\[3] Mozilla Firefox Kabar Keamanan** Katrangan babagan distribusi darurat OneCRL lan pembuangan Firefox / NSS sabanjure. [Protecting Firefox users following the compromise of eMudhra intermediate certificates](https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/)

**\[4] Koordinator acara Dennis Jackson Ringkesan pangopènan lan portal deteksi** Nyedhiyakake instruksi tambahan babagan status ndandani platform lan piranti lunak, mlebu tes, bahan rantai sertifikat umum, lan lingkungan kayata Windows/macOS. Asil tes mung makili jalur verifikasi nyata sing diuji. [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/)

**\[5] Mozilla Kabar kanggo distribusi lan pangurus toko amanah** Njlèntrèhaké 6 TLS lan 2 perantara penandatanganan kode CA, Sectigo wates-wates pangolahan salib, pencabutan, lan kapercayan root, lan dhaptar sertifikat sing pas lan identifikasi kunci umum. [oss-security eMudhra Intermediates Compromise](https://www.openwall.com/lists/oss-security/2026/10/20/1)

**\[6] eMudhra Pernyataan Resmi Acara** Nyedhiyani panjelasan awal pabrikan babagan proses generasi kunci; sabab ROOT pas isih bakal tundhuk kesimpulan saka diselidiki rampung. [eMudhra Statement on Recent Certificate Security Incident](https://emudhra.com/en/post/certificate-security-incident)

**\[7] Cloudflare Resmi insiden lan instruksi ndandani** Nyakup WARP, Cloudflare Tunnel, verifikasi situs asal, dependensi runtime, nganyari gambar lan cara verifikasi. [8 eMudhra certificates are compromised Here is what you need to know](https://blog.cloudflare.com/emudhra-certificate-compromise/)

### Sistem operasi lan distribusi

**\[8] Ubuntu Pengumuman Resmi Repair** Dhaptar paket fix ca-certificates, saluran dhukungan lan langkah nganyari sing ditargetake kanggo saben versi. [eMudhra CA compromise fixes available](https://ubuntu.com/blog/emudhra-ca-compromise-fixes-available)

**\[9] Debian Masalah resmi lan cathetan ndandani** Rekaman fix maintainer lan paket rilis sing cocog kudu dijupuk minangka standar, lan saran sauntara awal ing diskusi masalah ora kudu dianggep minangka solusi pungkasan. [Debian bug 1151413 eMudhra Intermediate CA key compromise](https://bugs.debian.org/1151413)

**\[10] Red Hat Buletin Resmi Keamanan RHSB 2026 012** Dhaptar RHEL 6 liwat 10, produk sing gegandhengan lan impact wadhah, lan ndandani release lan pembuangan interim entri. [Certificate compromise eMudhra](https://access.redhat.com/security/vulnerabilities/RHSB-2026-012)

**\[11] FreeBSD Buletin Keamanan Resmi** Nyedhiyani cabang sistem sing kena pengaruh, versi ndandani lan syarat miwiti maneh layanan. [FreeBSD SA 26 73 caroot](https://www.freebsd.org/security/advisories/FreeBSD-SA-26:73.caroot.asc)

### Runtime lan protokol

**\[12] Python Katrangan acara resmi** Nyedhiyani garis dasar repair kanggo pip, certifi, uv, etc., nerangake masalah saka pip toko kapercayan sawijining lawas, lan menehi cara upgrade dhisikan karo verifikasi SHA-256. [Information for Python users regarding eMudhra emSign CA certificate security incident](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)

**\[13] Node.js 24.22.1 Rilis resmi** Ngandhut nganyari nyimpen root NSS lan nolak owah-owahan sing ngemot rantai sertifikat kunci umum sing diblokir. [Node.js 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1)

**\[14] Go Rilis keamanan resmi** Deskripsi crypto/x509 nganyari penyaringan rantai sertifikat kanggo Go 1.27.3/1.26.10. [Go 1.27.3 and Go 1.26.10 are released](https://groups.google.com/g/golang-announce/c/66pojueaQek)

**\[15] Oracle JDK Pandhuan Pembuangan Resmi** Nerangake patch kritis JDK lan ukuran konfigurasi sing gegandhengan nalika ora bisa nganyari langsung. [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra)

**\[16] TLS 1.3 standar Protokol RFC 8446** Waca lampiran E.1 kanggo instruksi babagan otentikasi identitas, ijol-ijolan kunci sauntara lan rahasia maju. [The Transport Layer Security Protocol Version 1.3](https://www.rfc-editor.org/rfc/rfc8446.html)

**\[17] Sertifikat root sing gegandhengan karo acara lan data hubungan penerbitan** Digunakake kanggo mangerteni sing ngetokake sekuritas langsung lan hubungan tandha silang; status Gawan nyimpen ROOT ora bisa ngganti panjabutan paling anyar utawa status Watesan saka klien. [Root certificate relationships JSON](https://emudhra.we-have-a-problem.com/roots.json)

## Konsultasi pangopènan keamanan

Ora yakin kepiye owah-owahan kapercayan sertifikat mengaruhi sistem sampeyan? Kita bisa mbantu netepake klien sing kena pengaruh lan ngrancang nganyari keamanan.

[Rembugan nganyari keamanan](<https://keendigit.com/jv/contact?service=security-remediation#form>)

[Kaca asli](<https://keendigit.com/jv/insights/emudhra-ca-incident-remediation-guide>) · [Indeks isi](<https://keendigit.com/jv/llms.txt>)

KeenDigit LLC · Nomer pendhaptaran Wyoming: 2026-002106155

[Verifikasi karo Sekretaris Negara Wyoming](<https://wyobiz.wyo.gov/Business/filingSearch.aspx>)

© 2026 KeenDigit LLC · Sheridan, Wyoming, Amérika Sarékat · Kabeh hak dilindhungi undhang-undhang.