eMudhra منځمهاله CA جوړجاړی: اغیزې او د درملنې لارښود

سرچینې د اکتوبر په 22، 2026، د بیجینګ وخت کې چک شوي. اوریدونکي: انفرادي کارونکي، د ویب پاڼې چلونکي، پراختیا کونکي، او د سیسټم مدیران.

جدي ضعفونو د eMudhra/emSign منځګړی CA شخصي کیلي یوه ډله جوړه کړه. دا هغه پیرودونکي اغیزه کوي چې د ویب پاڼې، APIs، او سافټویر تصدیق کولو لپاره د عامه سند سیسټم کاروي. عامه باور په لوی عملیاتي سیسټمونو پورې اړه لري، مګر د جوړ شوي کیلي سیټ او د پیرودونکي احتمالي اغیزې مختلفې ساحې دي. 15

اصلي متن د اړوندو سرچینو شمیرې لپاره مربع بریکٹ کاروي، او ټولې بهرنۍ حوالې لینکونه په ضمیمه کې لیست شوي. لست شوی نسخه د نسخې اساسی کرښه ده چې د تایید نیټې سره سم د دې پیښې لپاره حل لري. کله چې ګمارل کیږي، لومړیتوب په ورته ملاتړ شوي څانګه کې تازه شوي مستحکم نسخې ته ورکول کیږي.

TL;DR

Eight منځمهاله CA شخصي کیلي جوړ شوي تایید شوي. اوسني راپورونه دا ندي رامینځته کوي چې روټ شخصي کیلي یا HTTPS کریپټوګرافي په عمومي ډول مات شوي. تازه معلومات د عامه باور د اکوسیستم ډیره برخه غزوي؛ پاتې خطر په ریښتیني غوښتنلیک پورې اړه لري.15

1. انفرادي کارونکي: تازه براوزرونه، عملیاتي سیسټمونه، او امنیتي برخې. په Android کې، د Google Play خدمات هم تازه کړئ. Firefox Android 158.0.2 یا وروسته وکاروئ. 12
2. Servers: د توزیع ca-certificates/NSS کڅوړې تازه کړئ او د غوښتنلیک بنډل شوي باور پلورنځي چیک کړئ. یوازې د کوربه تازه کول کافي ندي. 7810
3. پرمختیایي چاپیریال: Node 24 24.22.1 ته تازه کړئ یا په دې څانګه کې د پلي کیدو په صورت کې یو نوی خپور کړئ. په Python چاپیریالونو کې، لږترلږه pip 26.2.2، certifi 2026.10.19، او uv 0.13.4 ته تازه کړئ. ثابت Go بائنری ترلاسه کړئ یا یې بیا جوړ کړئ؛ د خپل پلورونکي مشورې سره سم Java تازه کړئ. 12–15
4. تازه معلومات فعال کړئ: اغیزمن شوي خدمات بیا پیل کړئ او کانټینرونه بیا جوړ او بیا ځای په ځای کړئ. د Cloudflare Tunnel لپاره، cloudflared 2026.10.2 یا وروسته تازه کړئ. 7
5. د وېبپاڼې سندونه: د اغېزمن زنځیر ځای په ځای کوي که چیرې دا یو رد شوی یا بلاک شوی منځګړی CA ولري، یا په بې باوره ریښې تکیه کوي. د سند بیا صادرول د پیرودونکي باور پلورنځیو تازه کول نه بدلوي. 158
6. تصدیق: د هر غوښتنلیک اصلي TLS لاره ازموینه وکړئ. د مهال ویش او DNS ناکامیو څخه د سند رد کول توپیر کړئ. د سند تصدیق فعال وساتئ؛ -k مه کاروئ یا د غلطیو د درولو لپاره تایید پریږدئ. 7

1 د پیښې حقایق او لاملونه

تایید شوي حقایق

Mozilla او Google په اتو eMudhra منځګړیتوب CA شخصي کیلي کې نیمګړتیاوې تایید کړې. څیړونکي د شخصي کلیدي کنټرول ثبوت وړاندې کړ؛ Mozilla په خپلواکه توګه کیلي ترلاسه کړې او مسله یې بیا تولید کړه. شپږ منځمهاله CAs TLS او دوه خدمت کوډ لاسلیک کوي. 25

نیمګړتیا په تولید شوي کیليونو کې ده: دا منځمهاله CAs د P-384 منحل کاروي، مګر د دوی شخصي کیلي د 256 څخه کم بشپړ دي. دا د ټاکل شوي لوی رینج څخه په تصادفي ډول د کیلي غوره کولو څخه لرې ده. د دې ضعیف کیلي بیرته ترلاسه کول دا نه ښیې چې په سمه توګه رامینځته شوي P-384 کیلي مات کیدی شي. 2

دلته “سند مات شوی” باید په سمه توګه وپیژندل شي ځکه چې “اړونده شخصي کیلي بیرته ترلاسه کیدی شي”. سند او په هغې کې عامه کیلي په طبیعي توګه عامه دي؛ هغه څه چې واقعیا باید پټ وساتل شي شخصي کیلي دي چې کولی شي یو باوري لاسلیک رامینځته کړي.

د کلیدي نسل پروسې مسلې لاهم د تحقیق لاندې دي

د eMudhra ابتدايي توضیحات ستونزه د 2025 په اپریل کې د کلیدي نسل مراسمو ته په ګوته کوي. په توضیح کې د کلیدي کیپسولیشن او ډیکاپسولیشن مرحله شامله ده: د اصلي قوي کیلي سربیره ، د ضعیف کیلي یوه بله سیټ څرګندیږي ، او ضعیف کیلي وروسته د سند غوښتنلیک او صادرولو لپاره کارول کیږي. شرکت لا تر اوسه ویلي چې د پیښې اصلي لامل په بشپړ ډول نه دی ټاکل شوی. 6

له همدې امله، هغه څه چې ټاکل کیدی شي دا دي چې دا کلیدونه په جدي توګه ضعیف دي او جوړ شوي دي؛ ناکامي نوره نشي تشریح کیدی ځکه چې د HSM د هارډویر تصادفي شمیرې سرچینې نیمګړتیا ثابته شوې، او نه هم د RSA، ECC یا TLS عمومي کریپټوګرافیک بریا په توګه تشریح کیدی شي.

د روټ سند بې باوري څه معنی لري؟

براوزر یا عملیاتي سیسټم کولی شي په مستقیم ډول د اغیزمن شوي منځګړیتوب CA سند یا عامه کیلي بند کړي، یا دا کولی شي د ریښې باور لیرې کړي چې دوی ته الرښوونه کوي. وروستی اقدام به د ورته ریښې لاندې ځینې مشروع سندونه هم رد کړي.

Google د Chrome روټ پلورنځي کاروونکو ساتلو لپاره د emSign ECC Root CA - G3 لرې کول مهالویش کړي چې د CRLSet څخه تازه معلومات نه ترلاسه کوي. تمه کیږي چې د ریښې پلورنځي لیرې کول به د اکتوبر له 27 څخه تر 28 نیټې پورې د بیجینګ وخت په اړونده موده کې وغځول شي. د Google اصلي وخت د اکتوبر د 27 د سهار وخت دی، د متحده ایالاتو د آرام سمندر د رڼا وخت. دا پلان د بیړني عامه کیلي بلاک کولو څخه جلا دی چې دمخه ځای په ځای شوی و. 1

پر ريښي باور کول د غبرګون اندازه ده. دا پخپله دا نه ثابتوي چې د روټ شخصي کیلي سره جوړجاړی شوی.

2 ولې احتمالي اغیزې د عامه باور اکوسیستم پراخه کوي

جوړ شوي کیلي او اغیزمن باور لارې

د قضاوت اعتراض	د دې پیښې ساحه
ستونزه لرونکې کیلي په ګوته شوه	د eMudhra لپاره 8 منځنۍ CA شخصي کیلي
هغه پلیټ فارمونه چې ممکن عمل ته اړتیا ولري	عامه روټ پلورنځی، براوزر، عملیاتي سیسټم، د ژبې چلولو وخت، د سافټویر کڅوړه او کانټینر ایکوسیستم
احتمالا نقض شوی پیژندنه TLS	هغه ویب پاڼې یا خدمتونه چې د پیرودونکو لخوا لیدل کیږي چې لاهم د اړوند جعلي سند سلسله مني
ایا دا پدې معنی ده چې ټول وسایل جوړ شوي دي؟	نه; د باور شرایط، د برید کونکي شبکې موقعیت، او د تایید کولو نورې ستراتیژۍ د استخراج وړتیا ټاکي
ایا دا پدې معنی ده چې ټول قانوني سندونه باطل دي؟	نه; مربوط باطل په دې پورې اړه لري چې کوم ریښې یا د سند زنځیرونه پیرودونکي بې اعتباره کړي.

Red Hat په واضح ډول استخراج په شرایطو محدودوي چیرې چې پیرودونکي لاهم اړونده سلسله مني ، برید کونکی جوړ شوی شخصي کیلي لري ، او د دې وړتیا لري چې په شبکه کې اړیکه مداخله وکړي. د خطر پوښښ باید د پیښو د شمیر سره مغشوش نشي. 10

نورې ویب پاڼې چې د CA کاروي هم ممکن نقالی شي

فرض کړئ چې یوه ویب پاڼه په حقیقت کې د Let’s Encrypt سند کاروي، او د لیدونکي پیرودونکي په ورته وخت کې ډیری عامه CA باور لري. یو برید کوونکی کولی شي د ورته ډومین نوم لپاره بل سند رامینځته کولو لپاره د جوړ شوي منځګړیتوب CA کارولو هڅه وکړي. پیرودونکي معمولا دمخه اړتیا نلري چې د ډومین نوم یوازې Let’s Encrypt وکاروي؛ که چیرې جعلي سلسله لاهم ومنل شي، کوم چې CA ویب پاڼه په حقیقت کې کاروي د داسې بریدونو د مخنیوي لپاره کافي ندي. 8

دا میکانیزم تشریح کوي: د بل CA سند ځای په ځای کول چې په اصل کې نورمال وو به په اوتومات ډول په جوړ شوي CA کې د پیرودونکي باور ترمیم نه کړي. هغه څه چې واقعیا پرې کولو ته اړتیا لري د پیرودونکو لپاره د جعلي پیژندنې منلو لاره ده.

درې اغیزې باید په جلا توګه معامله شي

د هویت د تقلید خطر: هغه پیرودونکي چې اړونده سلسله یې نه ده بنده کړې ممکن د برید کونکي لخوا جعلي پیژندنه ومني، د دې لامل کیږي چې حساس غوښتنې جعلي خدماتو ته واستول شي.

د قانوني خدماتو شتون خطر: د روټ باور لرې کول کولی شي د نورو مشروع ویب پا toو لپاره د سند غلطۍ لامل شي ، کوم چې ممکن بل منل شوي چین ته مهاجرت ته اړتیا ولري.

د ګمارنې پوښښ خطر: عملیاتي سیسټم ممکن تنظیم شي پداسې حال کې چې د غوښتنلیک بنډل اعتماد پلورنځی ، مجازی چاپیریال ، زاړه کانټینر عکس ، یا ترتیب شوی برنامه د زاړه اعتبار چلند ساتي.

دا درې ساحې یو شان ندي. د Cloudflare ځواب د ریموټ پیژندنې اعتبار، د شریک باور پلورنځي، بیس انځورونه، او انفرادي غوښتنلیکونه پوښي، دا په ډاګه کوي چې ولې وروستنۍ دوه دندې باید په جلا توګه اداره شي. 7

3 اغیزمن شوي CA او د سند چمتو کونکي

د برابرونکي او د اغیز ډول

چمتو کونکی یا سیسټم	په دې پېښه کې رول	سرحدونه چې باید توپیر شي
eMudhra／emSign	منځمهاله CA شخصي کیلي په مستقیم ډول جوړ شوی.	تاسو نشئ کولی ټول eMudhra ریښې او ټول سندونه د کریک په توګه ولیکئ
Sectigo اړوند کراس لاسلیک سلسله	A کراس سند د اغیزمن شوي عامه کیلي ورته بستې لپاره صادر شوی و، د باور بله لاره جوړوي.	اړونده کراس سند یا عامه کیلي باید بند شي؛ د Sectigo روټ شخصي کیلي د جوړجاړي لپاره ندي ثابت شوي.
د Internet2/InCommon لپاره د اړونده سند کچه	ځینې ​​مشروع سندونه د emSign ECC په ریښه باندې تکیه کوي ترڅو لیرې شي، چې مهاجرت پکې شامل دي	دا د ریښې بې باورۍ یو اړخیزه اغیزه ده او د دې 8 ضعیف کیلي CA په مینځ کې نشي شمیرل کیدی.
Let’s Encrypt، DigiCert، Google Trust Services، GlobalSign، او داسې نور.	په دې راپور کې د هغه ګوند په توګه نه دی لیست شوی چې شخصي کیلي ورسره جوړ شوي	مشروع سندونه په یو شان نه باطلیږي؛ زیانمنونکي پیرودونکي ممکن لاهم جعلي سندونه ومني د هغه ویب پا inو تقلید کوي چې دوی یې خدمت کوي
CDN، کلاوډ پلیټ فارم، د سند ډیلر	په احتمالي توګه اړونده سندونه چمتو کړئ یا د اصلي او API سره وصل کیدو پرمهال د عامه باور پلورنځی وکاروئ	د حقیقي سند سلسله او اعتبار کونکي چیک کولو لپاره ، یوازې پلیټ فارم یا محصول نوم مه ګورئ

د Mozilla خبرتیا د جوړ شوي کیلي او Sectigo کراس لاسلیکونه مستند کوي. د Google د عامه پیښو بحث د مشروع Internet2/InCommon درجه بندي مهاجرت په ګوته کوي. 25 Cloudflare د پتې خدمت او د پیرودونکي باور حل کوي؛ دوی د Cloudflare د خپل CA شخصي کیلي سره جوړجاړی نه په ګوته کوي. 7

TLS سند سلسله او کراس لاسلیک

لاندې اړیکه یوازې دا ځل د TLS اړونده لارې تشریح کوي. پدې کې د کوډ لاسلیک کولو لارې شاملې ندي، او نه دا پدې معنی ده چې دا لارې لاهم په ټولو پلیټ فارمونو باور لري. 17

emSign Root TLS CA - G3 د اغیزمن شوي TLS منځګړیو یو مستقیم صادر کونکی دی او پخپله په ځینو پلورنځیو کې د باور لنگر کیدی شي. emSign ECC Root CA - G3 د کراس لاسلیک کولو بل پرت چمتو کوي. د Sectigo د AAA Certificate Services ورته منځګړی CA عامه کیلي ته اضافي لاره رامینځته کوي. 17

له همدې امله، د ترمیم په وخت کې دوه مختلف دانه شتون لري:

• دقیق منځګړیتوب CA یا عامه کیلي بلاک کړئ: دا کولی شي د ورته ریښې لاندې نور مشروع درجه بندي وساتي، چیرې چې اعتبار کونکی د دې میکانیزم ملاتړ کوي.
• د روټ باور لرې کړئ: دا کولی شي د منځګړیتوب CA بلاک کولو وړتیاو پرته د پیرودونکو ساتنه وکړي ، مګر ممکن مطابقت اغیزه وکړي. نورې ټولې لارې چې پیرودونکي یې مني باید هم پوښل شي. 5

“ټول Sectigo/eMudhra ریښې ړنګ کړئ” باید د بې توپیره عمومي ګام په توګه ونه نیول شي، او نه یوازې د ورته نوم سره د سند حذف کول پدې معنی دي چې ټولې لارې بندې دي.

4 عملیاتي سیسټم او د براوزر پوښښ

اصلي پلیټ فارم

پلیټ فارم	پیژندل شوی چلند	هغه ساحه چې باید د کارولو پرمهال وڅیړل شي
Windows او Windows Server	د Microsoft توزیع د اتوماتیک سند باور لیست تازه کولو له لارې بنده شوې	ایا وسیله تازه ترلاسه کړې؛ یوازینی CA bundle لازمي نه د Windows تایید لاره کاروي
macOS, iOS, iPadOS, etc. Apple پلیټ فارم	د پیښې همغږي کوونکي تایید کړه چې Apple اړونده بندیز ځای پرځای کړی دی	هر زوړ نسخه او د دریمې ډلې ایپ د ورته پوښښ ترلاسه کولو تضمین ندی
Android	Google د Google Play خدمت له لارې مساوي بلاکونه توزیع کوي	ROM پرته د Google Play خدمت باید د تولید کونکي اعلان سره سم تصدیق شي؛ د اضافي تایید لپاره جوړ شوی تصدیق کونکي وکاروئ
Ubuntu	د سیسټم سند بنډل فکسونه چمتو شوي ، پشمول ډیری اوسني او زاړه نسخې څانګې	د ESM زوړ نسخه د شرایطو ملاتړ کوي، د کانټینر داخلي سند کڅوړه او غوښتنلیک جوړ شوی کتابتون
Debian او Devuan	Debian ثبت شوی ca-certificates ثابت شوی	تاسو باید د کارول شوي اصلي څانګه او نصب شوي بسته وګورئ، او تاسو د بلې څانګې نسخه شمیره کاپي نشي کولی.
RHEL او مشتقات	رسمي لیست RHEL 6، 7, 8, 9, 10 دی او اړوند محصولات او عکسونه پوښي چې ممکن اغیزمن شي	د دې چک په څیر، اعلان لا تر اوسه د اصلاحاتو او خطاګانو بشپړ لیست نه دی لیست کړی؛ “تازه ونه موندل شو” نشي کولی غیر اغیزمن وګڼل شي
Fedora، Arch، Gentoo، Alpine، او داسې نور.	د پیښې ساتونکي د ورته ترمیم ریکارډونه ترتیب کړي دي	په خپلواکه توګه د خوشې کولو، نسخې څانګې او عکس لخوا تایید شوی
FreeBSD	په رسمي ډول ټول ملاتړ شوي نسخې لیست کوي او د سیسټم باور پلورنځی ترمیم چمتو کوي	د تازه کولو وروسته، د اعلان سره سم اړونده ډیمون پروسه بیا پیل کړئ؛ د خپلواک غوښتنلیک باور پلورنځی په جلا توګه چیک کړئ.

د Windows، Apple او خپرونو لنډیز لپاره، 4 وګورئ؛ د Android لپاره، 1 وګورئ؛ د Ubuntu، Debian، RHEL، او FreeBSD لپاره د جاري کونکي ریکارډونه په ترتیب سره په 8 – 11 کې ښودل شوي.

هغه سیسټمونه چې نور یې ملاتړ نه کوي، آفلاین وسایل، NAS، روټرونه، او نور سرایت شوي چاپیریال باید تایید کړي چې ایا دوی لاهم په اړونده سلسله باور لري او ایا دوی د لغوه کولو یا سافټویر تازه معلوماتو ترلاسه کولو چینلونه لري. د پلیټ فارم نوم پخپله د اصلي تایید چلند چک کولو لپاره بدیل ندی.

د براوزر محافظت د عملیاتي سیسټم محافظت څخه توپیر لري

Chrome د بیړني بلاکونو ویشلو لپاره CRLSet کاروي؛ Firefox میکانیزمونه کاروي لکه OneCRL. Firefox د بلاک کولو معلوماتو سره هم خپور شوی ترڅو د تشکیلاتو لپاره اضافي محافظت چمتو کړي چې په سمه توګه ریموټ تنظیمات نه ترلاسه کوي. 13

د Firefox Android ځینې تشکیلاتو په پیل کې تازه شوي لیست په سمه توګه نه و پلي کړی، کوم چې Mozilla ویلي چې د 158.0.2. لخوا ټاکل شوي، نو ځکه، د 158.0.1 ابتدايي حالت نشي پراخیدلی ترڅو ټول Android Firefox ترتیبات شامل کړي. 2

د Apple او Windows سیسټم تایید لپاره اقدامات شوي، مګر دا پدې معنی نه ده چې په ورته ماشین کې د کمانډ لاین ټول پروګرامونه به د سیسټم تصدیق څخه تیریږي. د پیښې ساتونکي په ځانګړي ډول یادونه وکړه چې ځینې macOS جوړ شوي وسیلې د خپلواک سند فایلونه کاروي؛ اصلي TLS backend او CA سرچینه باید د چک کولو پرمهال ثبت شي. 4

د سند د شفافیت لپاره محافظتي حدود

Google تایید کړه چې مخکې له دې چې دا بلاک پلي کړي، شپږ TLS منځګړی CA د TLS سند خپور نه کړ چې د CT لاګ ته ننوتل. نو ځکه، د Chrome پیرودونکي چې CT پلي کوي اضافي محافظت لري. دا حقیقت دا احتمال نه ردوي چې نور پیرودونکي چې د CT اجرا نه کوي غیر مستند سندونه منلي وي. 15

“دا معلومه شوه چې دا د باوري ریښې سره تړاو لري”، “د احتمالي استخراج شرایط شتون لري” او “یو برید واقع شوی” درې مختلف قضاوتونه دي او باید د یو بل لخوا بدل نشي.

5 پرمختیایی چاپیریال او د چلولو وخت ترمیم اساسی کرښه

لاندې د تایید شوي فکسونو اساسی کرښه ده او د اوږدې مودې لپاره د دې ریلیزونو پن کولو اړتیا نده. ډیسټروس ممکن د پیچونو په حرکت کولو سره د زړو نسخو شمیرې حل کړي ، او د دوی امنیت مشورې هم باید وڅیړل شي.

اجزا	تایید شوی نسخه یا تازه طریقه	د ځای پرځای کولو په اړه نظرونه
Node.js 24	24.22.1 یا د ورته څانګې مستحکم نسخه تازه کړئ	د روټ ذخیره تازه کول او د بلاک شوي عامه کیچینونو رد کول؛ د Node لاره وګورئ چې واقعیا د خدمت لخوا کارول کیږي او بیا پیل کړئ
Python certifi	2026.10.19 یا نوې نسخه	د چلولو هر حقیقي چاپیریال وګورئ؛ تاسو نشئ کولی د نړیوال Python لاندې یوازې یوه بسته تازه کړئ
pip	26.2.2 یا نوې نسخه	په جلا توګه په زاړه مجازی چاپیریال کې pip تازه کړئ او د نوي چاپیریال رامینځته کیدو وروسته نسخه بیاکتنه وکړئ
uv	0.13.4 یا نوې نسخه	د وسیلې کاپي تازه کړئ ځکه چې دا واقعیا نصب شوی و
Go	1.27.3 یا 1.26.10، د اړونده څانګې تازه نسخه هم شتون لري	د وسیلې سلسلې تازه کولو وروسته اړونده برنامې بیا جوړ او ځای په ځای کړئ ، یا د پلورونکي ترمیم بائنری ترلاسه کړئ
Oracle JDK	د اړونده ملاتړ شوي نسخې لینونو لپاره Critical پیچ	مختلف JDK خپرونکي خپل اعلانونه تعقیبوي؛ دلته هیڅ واحد نسخه شمیره شتون نلري چې په ټولو Java خپرونو باندې پلي کیږي
Cloudflare Tunnel	cloudflared 2026.10.2 یا نوې نسخه	د چلولو خدماتو تازه کول؛ د کانټینر ګمارل د عکس بدلولو او بیا ځای پرځای کولو ته اړتیا لري
Cloudflare One／WARP	د ثابت پیرودونکي نسخه د پلیټ فارم یا تازه شوي مستحکم نسخې سره مطابقت لري	د پیرودونکي اړخ او د سرور اړخ اقدامات په جلا توګه تایید شوي. د ځانګړو پلیټ فارم نسخو لپاره، ضمیمه 7 وګورئ

لپاره اصلي لارښوونې Node , Python , Go , Oracle او Cloudflare په ترتیب سره شتون لري 13 , 12 , 14 , 15 , 7 .

Python د خپلواک سند ډیټابیس ستونزه

د Python چارواکو په ګوته کړه چې زوړ pip به د سیسټم باور او جوړ شوي certifi ترکیب وکاروي. په ساده ډول د سیسټم سند پلورنځي بدلول یا pip ته د CA فایل اضافه کول نشي کولی د اعتبار سره د دې جوړ شوی زوړ باور خارج کړي. نو ځکه، PIP_CERT، REQUESTS_CA_BUNDLE یا --cert نشي کولی د زاړه pip لپاره د نړیوال ترمیم بدیل په توګه وکارول شي. 12

د تازه کولو وروسته موجوده مجازی چاپیریال چیک کړئ. همدارنګه د pip نسخه په حقیقت کې په نوي رامینځته شوي چاپیریال کې نصب کړئ وګورئ ترڅو د بوټسټریپ زاړه برخې زیانمنونکي وسیلې بیا نه معرفي کوي. د لومړني اپ گریڈ لپاره، د نورو کڅوړو تازه کولو دمخه د Python مشورې کې د ډاونلوډ سرچینې او SHA-256 تایید مرحلې تعقیب کړئ. 12

Go او نور تالیف شوي پروګرامونه

د Go لپاره فکس د crypto/x509 لپاره د اعتبار منطق بدل کړ. 14 د ځای په ځای کولو میکانیزم له نظره، په پرمختیایي ماشین کې د کمپیلر تازه کول به مخکې له مخکې ګمارل شوي بائنری بیا نه لیکي. د نوي کوډ پرت بلاک کولو ترلاسه کولو لپاره ، غوښتنلیک باید بیا جوړ او ځای په ځای شي ، یا د پلورونکي لخوا چمتو شوی تازه نسخه باید وکارول شي. ایا یو زوړ برنامه کولی شي د سیسټم روټ تازه معلوماتو څخه هم ګټه پورته کړي د اصلي تایید لارې پورې اړه لري چې دا یې کاروي.

کانټینرونه او بسته شوي غوښتنلیکونه

د سیسټم سند کڅوړه ، د غوښتنلیک انحصار او په کانټینر کې د چلولو وخت معمولا د عکس مینځپانګې لخوا ټاکل کیږي. د کوربه تازه کول د عکس مینځپانګې تازه کولو سره مساوي ندي؛ بنسټیز عکس او انحصار باید تازه شي، او د چلولو اصلي مثال باید بیا جوړ شي، ځای پرځای شي، او چک شي. بسته شوي غوښتنلیکونه او ډیسټاپ برنامې چې د دوی د خپل وخت سره راځي باید د پلورونکي خوشې کولو چینلونو مطابق هم نوي شي. 710

6 د پلي کولو لارښوونې ترمیم

لومړی د تفتیش څیز مشخص کړئ

دا سپارښتنه کیږي چې د خدماتو لپاره لاندې معلومات ثبت کړئ چې خوندي کولو ته اړتیا لري، او بیا د ترمیم اړونده لاره غوره کړئ. دا د ګمارنې چک لیست دی او اړتیا نلري چې ټولې برخې په هر سیسټم کې شتون ولري.

پروژه	هغه څه چې باید ثبت شي
غوښتنلیکونه او استعمالونه	براوزر، تادیه API پیرودونکي، د بریښنالیک لیږلو خدمت، د ډاونلوډ وسیله، ریورس پراکسي، او نور.
عملیاتي موقعیت	کوربه، کانټینر، مجازی ماشین، د ډیسټاپ غوښتنلیک یا ګرځنده وسیله
تطبیق تایید کړئ	د عملیاتي سیسټم تایید کونکی، OpenSSL، Node، Python کتابتون، Java یا د غوښتنلیک دودیز تطبیق
باوري سرچینه	سیسټم CA بسته، certifi، JDK باور پلورنځی، جوړ شوی CA bundle یا د تصدۍ ترتیب
د ترمیم حالت	نصب شوی نسخه، د پیچ سرچینه، ایا بیا پیل کول یا بیا ځای پرځای کول
د منلو پایلې	ایا اغیزمن شوی سلسله رد شوې، ایا د عادي سوداګرۍ اړیکه بریالۍ ده، او د چک وخت

د Cloudflare لپاره د پراختیا کونکي لارښود په ځانګړي ډول وايي چې SDK ممکن نورو برخو ته تایید وټاکي؛ یوازې د لوړې کچې SDK تازه کول اړین ندي چې د ریښتیني باور پالیسي بدله کړي. 7

عملیاتي سیسټمونه او براوزرونه

Windows: د اتوماتیک سند باور لیست تازه معلومات فعال او تایید کړئ. د تاسیس شوي مدیریت پالیسیو له لارې تازه معلومات توزیع کړئ. آف لائن وسیلې یا وسایل چې د اتوماتیک تازه معلوماتو سره غیر فعال شوي د مناسب مدیریت پروسې له لارې پلي شوي بلاک ته اړتیا لري. هغه پروګرامونه چیک کړئ چې د Windows سیسټم اعتبار په جلا توګه نه کاروي. 4

Apple پلیټ فارم: بشپړ سیسټم، امنیتي برخې او د غوښتنلیک تازه معلومات. په macOS کې د پراختیا وسیلو لپاره، د دې TLS بیکینډ، د سند فایلونه او د نصب سرچینې هم وګورئ. دا قضاوت نشي کولی چې ټول ماشین ترمیم شوی وي ځکه چې Safari د ازموینې سلسله رد کړې. 4

Android: د Google Play خدمات په هغه وسیلو کې تازه کړئ چې دا لري. Google وايي چې د وسیلې بیا پیل کول کولی شي سمدستي تازه کړي. د دې خدماتو پرته د وسیلو لپاره، د پلورونکي یا ROM مشورې تعقیب کړئ؛ د Google د پوښښ بیان په اتوماتيک ډول په هر Android وسیله نه پلي کیږي. 1

Ubuntu/Debian: د ملاتړ شوي زیرمو څخه د سند کڅوړې تازه کړئ او د نصب شوي توزیع لپاره مشوره وګورئ. د مثال په توګه، د APT پر بنسټ سیسټم کارول کیدی شي:

sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificates

د Ubuntu 22.04، 24.04، 26.04، او 26.10 لپاره اړوند تازه معلومات معیاري ملاتړ دي؛ پخوانۍ نسخې باید د ESM ملاتړ او د ګودام حالت وګوري. وروسته له دې چې کمانډ په بریالیتوب سره پای ته ورسیږي، تاسو باید لاهم په بلیټین کې د فکس پیک نسخه پرتله کړئ. 89

RHEL او اړوند محصولات: د محصول چینل لخوا د سند کڅوړه او امنیت خطا چیک کړئ. د نسخې چک کول د دې په کارولو سره ترسره کیدی شي:

rpm -q ca-certificates

د پلورونکي پیچونو ترلاسه کولو لپاره ملاتړ شوي DNF/YUM تازه میکانیزم وکاروئ؛ که چینل لا تر اوسه فکس نه وي چمتو کړی، نو “د تازه کولو وړ کڅوړه” خوندي مه ګڼئ. کله چې په لنډمهاله توګه د ریښې باور لرې کولو ته اړتیا وي ، د تولید کونکي لخوا په واضح ډول لیست شوي اقدامات غوره کړئ او د مشروع سوداګرۍ سندونو مطابقت ارزونه وکړئ. 10

FreeBSD: د اړونده سیسټم څانګه تازه کړئ لکه څنګه چې د رسمي مشورې لخوا لارښوونه شوې، بیا د اغیزمن OpenSSL باور ترتیب په کارولو سره ډیمونونه بیا پیل کړئ یا سیسټم ریبوټ کړئ. 11

غوښتنلیکونه او انځورونه

د اړونده رن ټایم او سند انحصاري تازه معلوماتو بشپړولو وروسته ، د اجرا وړ فایل لاره وګورئ چیرې چې خدمت واقعیا پرمخ ځي ترڅو مخنیوی وشي چې ټرمینل نوي نسخې ته بدل شوی او ډیمون لاهم د نصب کولو پخوانی لارښود کاروي. د څو چاپیریال Python لپاره، د خدماتو کانټینرونه او غوښتنلیکونه چې د خپل وخت سره راځي، دوی باید په جلا توګه وڅیړل شي.

د هغو برخو لپاره چې بیا رغولو ته اړتیا لري، د جوړونې نسخه، د انحصار نسخه، او د ځای پرځای کولو عکس ID خوندي کړئ. د منلو څیز د چلولو ریښتیني مثال دی او نشي کولی یوازې د جوړونې ماشین یا عکس ثبت کې نوی ټاګ چیک کړي. 71214

د ویب پاڼې سند مهاجرت

که د ویب پاڼې سلسله یو رد شوی یا بلاک شوی منځګړیتوب CA ولري، یا په نهایت کې په بې باوره ریښې تکیه کوي، یو بل سلسله ترلاسه کړئ چې پیرودونکي یې لاهم مني. د بشپړ سرور سند سلسله نصب کړئ او هر ننوتل چیک کړئ ، پشمول د بار توازن کونکي ، ریورس پراکسي ، CDN پای ټکي ، او مستقیم د لاسرسي وړ اصلونه. 15

ایا مهاجرت ته اړتیا ده د اصلي سلسلې پراساس. یوازې د سند پلور برانډ لخوا فلټر کول ممکن د بیا پلور یا کراس لاسلیک کولو اړیکې له لاسه ورکړي؛ یوازې د منظم ختمیدو نوي کولو ته انتظار کول ممکن د روټ پلورنځي نوي کیدو دمخه مهاجرت بشپړ نه کړي.

د نورو نورمال ویب پاڼې سندونو لپاره چې د CA لخوا صادر شوي چې په اغیزمنه ریښه تکیه نه کوي، د دې پیښې له امله د دوی بیا لاسلیک کولو ته اړتیا نشته. په ورته وخت کې، د ویب پاڼې سرور پخپله باید لاهم د پیرودونکي اړخ ترمیم چکونه ترسره کړي کله چې بهرني خدماتو ته زنګ ووهي.

7 تایید کړئ چې فکس واقعیا اغیزمن کیږي

د نسخې چک کول او د چلند چک کول په جلا توګه ترسره کیږي

د نسخې چکونه د دې تصدیق کولو لپاره کارول کیږي چې پیچ یا ثابت برخې ځای پرځای شوي؛ د چلند چکونه د دې تصدیق کولو لپاره کارول کیږي چې غوښتنلیک واقعیا د متوقع تایید لاره کاروي. دوه چکونه مختلفې ستونزې حل کوي، او هیڅ یو یې د “د تازه کولو قوماندې په بریالیتوب سره اجرا شوي” لخوا نشي بدلیدلی.

د پیښې ساتونکی د ازموینې سایټ او د سند سلسلې توکي چمتو کوي ، او ننوتل په ضمیمه 4 کې متمرکز دی. دا باید د هدف غوښتنلیک ریښتیني عملیاتي چاپیریال کې تصدیق شي ، د نورمال سند تصدیق ترتیب ساتل. 47

پایلې وګورئ	هغه نتیجې چې کیدای شي رسم شي
په ښکاره ډول رد کړئ ځکه چې اغیزمن شوي سلسله باور نلري	په ګوته کوي چې د تایید لاره ازموینه شوې سلسله رد کړه
اغیزمن شوي سلسله په نورمال ډول ومنئ	دا په ګوته کوي چې دا لاره باید ترمیم ته دوام ورکړي یا ترتیب چیک کړي.
DNS تېروتنه، د پیوستون وخت پای، د پراکسي رد یا خدمت د لاسرسي وړ نه دی	دا نتیجه نشي کیدی چې د دې پراساس د سند خطر له مینځه وړل شوی.
براوزر ردوي، مګر د ایپ کال نه چک شوی	دا یوازې براوزر تایید کولی شي ، نه د شالید برنامه.
A سلسله رد شوه	بیا هم باید په پام کې ونیول شي چې آیا پیرودونکي د کراس لاسلیک کولو بله لاره مني

ازموینه باید نورمال سوداګریزې اړیکې هم پوښي ترڅو د غوښتنې ټولې ناکامۍ له غلطۍ څخه مخنیوی وکړي ځکه چې د سوداګرۍ ناکامیو وروسته بریالي ترمیم د ډیر باور لرې کولو له امله رامینځته کیږي.

د بشپړولو شرایط وړاندیز شوي

• د اغیزمنو برخو تازه سرچینه او نسخه مستند شوي.
• د چلولو اړونده مثال بیا پیل شوی، بیا جوړ شوی، یا بیا ځای پرځای شوی.
• اصلي غوښتنلیک اغیزمن شوی سلسله ردوي، او د عادي سوداګرۍ لپاره TLS تایید کار ته دوام ورکوي.
• د پیوستون بیا رغولو لپاره د سند تصدیق په لنډمهاله توګه بندولو لپاره هیڅ ترتیب شتون نلري.
• که چیرې د ویب پاڼې سند مهاجرت کې ښکیل وي، ټول بهرنۍ ننوتل بدل شوي او تایید شوي.

د بشپړیدو پورتني شرایط د دې تخریب لپاره د عملیاتو او ساتنې منلو وړاندیزونه دي. دا د ثابتولو سره مساوي ندي چې تجهیزات نور د خوندیتوب مسلې نلري.

8 تاریخي HTTPS ترافیک او د خطر حدود

درې ډوله کیلي مختلف استعمالونه لري

کلید	اصلي موخه
CA شخصي کیلي	په سند کې د هویت او عامه کلیدي پابند لاسلیک کړئ
د ویب پاڼې شخصي کیلي	په تصدیق شوي سند کې د سرور هویت ثابت کړئ TLS لاسوند
د غونډې کلیدي	هغه معلومات خوندي کړئ چې واقعیا په اړیکه کې لیږدول شوي

د CA شخصي کیلي ترلاسه کول د ویب پاڼې شخصي کیلي یا د ناستې ټولې کیلي ترلاسه کولو سره مساوي ندي. A د لنډمهاله کیلي تبادلې په کارولو سره د مخکینۍ محرمیت سره نورمال اړیکه به په اوتومات ډول تاریخي ناستې نه افشا کړي ځکه چې د اوږدې مودې لاسلیک کولو کیلي وروسته موافقت کیږي. د TLS 1.3 اړونده امنیتي ځانګړتیاو لپاره، RFC 8446 وګورئ. 16

اصلي خطر دا ځل د تصدیق مرحلې په جریان کې پیښیږي: که چیرې پیرودونکي د جعلي سرور سند ومني ، نو دا ممکن د برید کونکي سره اړیکه رامینځته کړي چې لاهم کوډ شوی دی. TLS 1.3 هم باوري تصدیق ته اړتیا لري؛ په ساده ډول د پروتوکول نسخه نوي کول د CA بلاک کولو بدیل ندی.

هغه قضاوت چې اوس مهال کیدی شي او نشي کیدی

تایید شوی: ځانګړي منځګړیتوب CA شخصي کیلي جوړ شوي؛ د عامه باور اغېزمنې لارې پراخه لاسرسی لري. لوی پلیټ فارمونه او ډیری سافټویر ایکوسیستمونو اقدام کړی. 145

د دې پیښې لخوا ندی رامینځته شوی: چې ټولو کاروونکو د مینځنۍ مینځنۍ حملې تجربه کړې ، دا چې نور CA شخصي کیلي سره موافقت شوي ، دا چې د HTTPS ټول تاریخي ترافیک د کوډ کولو وړ دی ، یا دا چې په هر اپلیکیشن کې د براوزر تازه کول خوندي کوي.

د یو ځانګړي خدمت په اړه وروستی قضاوت باید د دې سند سلسلې ، د تایید پالیسۍ ، اصلي چلونکي اجزاو او تازه حالت پراساس وي ، نه یوازې دا چې ایا د پتې بار HTTPS لوستل کیږي.

ضمیمه A اغیزمن منځګړی CA نوم

لاندې نومونه د شتمنیو چک کې مرسته کوي. نومونه د سند د ګوتو نښو یا عامه کلیدي پیژندونکي ځای نه نیسي. اتوماتیک میچینګ باید دقیق پیژندونکي وکاروي چې د پیښې ساتونکو یا پلورونکو لخوا خپاره شوي ، په شمول د کراس لاسلیک شوي سندونه. 5

منځنی CA	موخه	مربوط سازمانونه
EM EV TLS CA - G3B	TLS	eMudhra BV
EM OV TLS CA - G3B	TLS	eMudhra BV
EM DV TLS CA - G3B	TLS	eMudhra BV
EM EV TLS CA - G3C	TLS	eMudhra Inc
EM OV TLS CA - G3C	TLS	eMudhra Inc
EM DV TLS CA - G3C	TLS	eMudhra Inc
EM OV CS CA - G3B	کوډ لاسلیک کول	eMudhra BV
EM OV CS CA - G3C	کوډ لاسلیک کول	eMudhra Inc

TLS په حقیقت کې د کوډ لاسلیک کولو په څیر ورته اعتبار کونکی او د ردولو میکانیزم ندی. د دې مقالې تمرکز HTTPS/TLS دی؛ د کوډ لاسلیک کولو چاپیریال باید د دې تایید هدف لپاره Microsoft، JDK یا اړوند سافټویر پلورونکي غوره کړي، او د براوزر ازموینې پایلې باید د کوډ لاسلیک منلو په توګه ونه ګڼل شي. 515

ضمیمه B حواله لینک

لاندې سرچینې د اکتوبر په 22، 2026 تایید شوي. د رولینګ اعلان ممکن تازه کیدو ته دوام ورکړي، او په متن کې وضعیت او نسخه باید د دې سند د نیټې پراساس پوه شي.

د پیښې حقایق او د پلیټ فارم اداره کول

[1] Google Chrome او Android رسمي اعلان د خصوصي کلیدي نیمګړتیاو تشریح کوي، د SPKI بلاک کول، Google Play خدماتو ویش، CT محافظت، او Chrome د ریښی ذخیره کولو پلانونه. Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates

[2] Mozilla Bugzilla 2083449 د پیښې ریکارډ اصلي راپورونه، خپلواک تایید، د نسل پروسې تفتیش، د Firefox Android لپاره راتلونکی اصلاحات، او د قانوني سند مهاجرت بحثونه لري؛ په 5، 11، 29، او 30 نظرونو تمرکز وکړئ. eMudhra Private key compromise of Intermediate Certificates

[3] Mozilla Firefox امنیتي خبرتیا د OneCRL بیړني توزیع او ورپسې Firefox/NSS تصفیه توضیحات. Protecting Firefox users following the compromise of eMudhra intermediate certificates

[4] د پیښې همغږي کونکی Dennis Jackson د ساتنې لنډیز او کشف پورټل د پلیټ فارم او سافټویر ترمیم حالت ، د ازموینې ننوتلو ، د عامه سند سلسلې موادو ، او چاپیریالونو لکه Windows/macOS په اړه اضافي لارښوونې چمتو کوي. د ازموینې پایلې یوازې د ازموینې اصلي تایید لارې استازیتوب کوي. eMudhra Intermediate CA Compromise

[5] Mozilla د توزیع او امانت پلورنځي ساتونکو ته خبرتیا د 6 TLS او 2 کوډ لاسلیک کولو منځګړیتوب CA، Sectigo کراس لاسلیک کول، لغوه کول، او د روټ باور پروسس کولو حدود بیانوي، او دقیق سند او عامه کلیدي پیژندنه لیست کوي. oss-security eMudhra Intermediates Compromise

[6] eMudhra د رسمي پیښې بیان د کلیدي نسل پروسې په اړه د تولید کونکي لومړني توضیحات چمتو کړئ؛ دقیق اصلي علت به لاهم د بشپړې څیړنې پای ته رسیدو پورې اړه ولري. eMudhra Statement on Recent Certificate Security Incident

[7] Cloudflare رسمي پیښه او ترمیم لارښوونې د WARP، Cloudflare Tunnel، د اصلي سایټ تصدیق، د چلولو وخت انحصار، د عکس تازه کول او د تایید میتودونه پوښي. 8 eMudhra certificates are compromised Here is what you need to know

عملیاتي سیسټمونه او توزیع

[8] Ubuntu رسمي ترمیم اعلان د ca-certificates فکس کڅوړې لیست کوي، د ملاتړ چینلونه او د هرې نسخې لپاره هدف شوي تازه ګامونه. eMudhra CA compromise fixes available

[9] Debian رسمي ستونزه او ترمیم ریکارډ د ساتونکي فکس ریکارډ او اړونده خوشې کڅوړه باید د معیار په توګه ونیول شي، او د ستونزې په بحث کې ابتدايي لنډمهاله وړاندیزونه باید د وروستي حل په توګه ونه ګڼل شي. Debian bug 1151413 eMudhra Intermediate CA key compromise

[10] Red Hat رسمي خوندیتوب خبرتیا RHSB 2026 012 RHEL 6 تر 10 پورې لیست کوي، اړوند محصول او کانټینر اغیزې، او د خوشې کولو او لنډمهاله تصفیه ننوتلو فکس کول. Certificate compromise eMudhra

[11] FreeBSD رسمي امنیتي خبرتیا د اغیزمن سیسټم څانګې، ترمیم نسخې او د خدماتو بیا پیلولو اړتیاوې چمتو کړئ. FreeBSD SA 26 73 caroot

د چلولو وخت او پروتوکولونه

[12] Python د رسمي پیښې توضیحات د pip، certifi، uv، او نور لپاره د ترمیم اساسات چمتو کوي، د زاړه pip خپلواک باور پلورنځي ستونزه تشریح کوي، او د SHA-256 تصدیق سره د اپ گریڈ لومړني میتود چمتو کوي. Information for Python users regarding eMudhra emSign CA certificate security incident

[13] Node.js 24.22.1 رسمي خپرونه د NSS روټ سټور تازه معلومات لري او هغه بدلونونه ردوي چې د بلاک شوي عامه کلیدي سند زنځیرونه لري. Node.js 24.22.1 security release

[14] Go رسمي امنیتي اعلامیه د Go 1.27.3/1.26.10. لپاره د crypto/x509 سند سلسلې فلټر کولو تازه توضیحات Go 1.27.3 and Go 1.26.10 are released

[15] Oracle JDK رسمي تصفیه لارښوونې د JDK مهم پیچ او د اړونده ترتیب کولو اقدامات تشریح کړئ کله چې سمدلاسه لوړ نشي. Distrusting eMudhra Intermediate Certificates in Oracle JDK

[16] TLS 1.3 پروتوکول معیاري RFC 8446 د هویت تصدیق، لنډمهاله کلیدي تبادلې او مخ پر وړاندې محرمیت لارښوونو لپاره ضمیمه E.1 وګورئ. The Transport Layer Security Protocol Version 1.3

[17] د پیښې اړوند ریښې سند او د خپریدو اړیکې ډیټا د مستقیم جاري کونکي او کراس لاسلیک کولو اړیکې د پوهیدو لپاره کارول کیږي؛ د روټ پلورنځي شاملولو حالت نشي کولی د پیرودونکي وروستي لغوه یا بلاک کولو حالت بدل کړي. Root certificate relationships JSON