---
title: "Thỏa hiệp eMudhra trung cấp CA: hướng dẫn tác động và khắc phục"
description: "Đánh giá các đường dẫn tin cậy bị ảnh hưởng và cập nhật hệ điều hành, trình duyệt, thời gian chạy và vùng chứa, đồng thời kiểm tra trình xác thực chứng chỉ thực tế."
language: "vi"
url: "https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide"
author: "KeenDigit"
published: "2026-10-22"
---

# Thỏa hiệp eMudhra trung cấp CA: hướng dẫn tác động và khắc phục

Đánh giá các đường dẫn tin cậy bị ảnh hưởng và cập nhật hệ điều hành, trình duyệt, thời gian chạy và vùng chứa, đồng thời kiểm tra trình xác thực chứng chỉ thực tế.

**Nguồn được kiểm tra vào ngày 22 tháng 10 năm 2026, giờ Bắc Kinh.** **AĐối tượng: người dùng cá nhân, nhà điều hành trang web, nhà phát triển và quản trị viên hệ thống.**

Điểm yếu nghiêm trọng khiến một nhóm khóa riêng CA trung gian eMudhra/emSign có thể phục hồi được. Điều này ảnh hưởng đến các khách hàng sử dụng hệ thống chứng chỉ công khai để xác thực trang web, API và phần mềm. Niềm tin của công chúng trải rộng trên các hệ điều hành lớn, nhưng tập hợp các khóa bị xâm phạm và tác động tiềm tàng đến khách hàng lại có phạm vi khác nhau. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

Phần văn bản chính sử dụng dấu ngoặc vuông để đánh số các nguồn tương ứng và tất cả các liên kết tham khảo bên ngoài được liệt kê trong phần phụ lục. Phiên bản được liệt kê là phiên bản cơ sở đã được xác nhận là có bản sửa lỗi cho sự cố này kể từ ngày xác minh. Khi triển khai, ưu tiên phiên bản ổn định đã cập nhật trong cùng nhánh được hỗ trợ.

## TL;DR

Khóa riêng **Zight trung gian CA được xác nhận đã bị xâm phạm. Các báo cáo hiện tại không chứng minh được rằng khóa riêng gốc hoặc mật mã HTTPS nói chung đã bị phá vỡ. Các bản cập nhật trải rộng trên phần lớn hệ sinh thái lòng tin của công chúng; rủi ro còn lại phụ thuộc vào ứng dụng thực tế.**[1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

1. **Người dùng cá nhân:** cập nhật trình duyệt, hệ điều hành và các thành phần bảo mật. Trên Android, cũng cập nhật các dịch vụ Google Play. Sử dụng Firefox Android 158.0.2 trở lên. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[2](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-2)
2. **Servers:** cập nhật các gói `ca-certificates`/NSS của bản phân phối và kiểm tra các cửa hàng tin cậy đi kèm ứng dụng. Chỉ cập nhật máy chủ là không đủ. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)[8](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-8)[10](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-10)
3. **Môi trường phát triển:** cập nhật Node 24 lên 24.22.1 hoặc bản phát hành mới hơn trong nhánh đó nếu có. Trong môi trường Python, hãy cập nhật lên ít nhất pip 26.2.2, certifi 2026.10.19 và uv 0.13.4. Lấy các tệp nhị phân Go cố định hoặc xây dựng lại chúng; cập nhật Java theo lời khuyên của nhà cung cấp. [12](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-12)–[15](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-15)
4. **Kích hoạt các bản cập nhật:** khởi động lại các dịch vụ bị ảnh hưởng, đồng thời xây dựng lại và triển khai lại vùng chứa. Đối với Cloudflare Tunnel, hãy cập nhật cloudflared lên 2026.10.2 trở lên. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)
5. **Chứng chỉ trang web:** thay thế chuỗi bị ảnh hưởng nếu chuỗi đó chứa CA trung gian bị thu hồi hoặc bị chặn hoặc dựa vào gốc không đáng tin cậy. Việc cấp lại chứng chỉ không thay thế việc cập nhật các kho lưu trữ tin cậy của khách hàng. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)[8](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-8)
6. **Verification:** kiểm tra đường dẫn TLS thực tế của từng ứng dụng. Phân biệt việc từ chối chứng chỉ với thời gian chờ và lỗi DNS. Luôn bật xác minh chứng chỉ; không sử dụng `-k` hoặc bỏ qua xác minh để ngăn chặn lỗi. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)

## 1 Thực tế và nguyên nhân vụ việc

### sự thật đã được xác nhận

Mozilla và Google đã xác nhận lỗi trong tám khóa riêng CA trung gian eMudhra. Nhà nghiên cứu đã cung cấp bằng chứng về việc kiểm soát khóa riêng; Mozilla đã khôi phục khóa một cách độc lập và tái tạo sự cố. Sáu CA trung gian phục vụ TLS và hai CA phục vụ việc ký mã. [2](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

Lỗi nằm ở các khóa được tạo: các CA trung gian này sử dụng đường cong P-384, nhưng khóa riêng của chúng là số nguyên dưới 256. Điều này còn lâu mới có thể chọn các khóa một cách an toàn một cách ngẫu nhiên trong phạm vi lớn dự định. Việc khôi phục các khóa yếu này không chứng tỏ rằng các khóa P-384 được tạo đúng cách có thể bị hỏng. [2](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-2)

“Chứng chỉ bị bẻ khóa” ở đây nên hiểu chính xác là “có thể khôi phục được khóa riêng tương ứng”. Chứng chỉ và khóa chung trong đó vốn đã được công khai; điều thực sự cần được giữ bí mật là khóa riêng có thể tạo ra chữ ký hợp lệ.

### Các vấn đề về quy trình tạo khóa vẫn đang được điều tra

Mô tả ban đầu về eMudhra cho thấy vấn đề bắt nguồn từ buổi lễ tạo khóa vào tháng 4 năm 2025. Lời giải thích liên quan đến bước đóng gói và giải mã khóa: ngoài khóa mạnh ban đầu, một bộ khóa yếu khác xuất hiện và các khóa yếu sau đó được sử dụng để đăng ký và cấp chứng chỉ. Công ty vẫn cho biết nguyên nhân gốc rễ chính xác vẫn chưa được xác định rõ ràng. [6](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-6)

Do đó, điều có thể xác định là các khóa này yếu nghiêm trọng và đã bị xâm phạm; lỗi này không thể được mô tả thêm vì một nguồn số ngẫu nhiên phần cứng nhất định của HSM đã được chứng minh là bị lỗi và cũng không thể được mô tả là một bước đột phá về mật mã chung của RSA, ECC hoặc TLS.

### Chứng chỉ gốc không tin cậy có nghĩa là gì?

Trình duyệt hoặc hệ điều hành có thể chặn trực tiếp chứng chỉ hoặc khóa chung của CA trung gian bị ảnh hưởng hoặc có thể xóa niềm tin gốc dẫn đến chúng. Biện pháp thứ hai cũng sẽ từ chối một số chứng chỉ hợp pháp có cùng gốc.

Google đã lên lịch xóa `emSign ECC Root CA - G3` để bảo vệ người dùng kho gốc Chrome không nhận được bản cập nhật từ CRLSet. Việc loại bỏ cửa hàng gốc dự kiến ​​sẽ được đẩy mạnh trong khoảng thời gian tương ứng từ ngày 27 đến ngày 28 tháng 10, giờ Bắc Kinh; thời gian ban đầu của Google là sáng ngày 27 tháng 10, Giờ ban ngày Thái Bình Dương của Hoa Kỳ. Kế hoạch này tách biệt với việc chặn khóa công khai khẩn cấp đã được triển khai trước đó. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)

**DKhông tin tưởng vào root là một biện pháp ứng phó; bản thân nó không chứng minh rằng khóa riêng gốc đã bị xâm phạm.**

## 2 Tại sao tác động tiềm tàng lại lan rộng đến hệ sinh thái lòng tin của công chúng

### Khóa bị xâm phạm và đường dẫn tin cậy bị ảnh hưởng

| Đối tượng phán xét                                         | Phạm vi của sự cố này                                                                                              |
| ---------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------ |
| Đã xác định được khóa có vấn đề                            | 8 khóa riêng CA trung gian cho eMudhra                                                                             |
| Nền tảng có thể yêu cầu hành động                          | Cửa hàng gốc công cộng, trình duyệt, hệ điều hành, thời gian chạy ngôn ngữ, gói phần mềm và hệ sinh thái vùng chứa |
| Có thể mạo danh danh tính TLS                              | Các trang web hoặc dịch vụ được khách hàng truy cập vẫn chấp nhận chuỗi chứng chỉ giả mạo liên quan                |
| Có nghĩa là tất cả các thiết bị đã bị xâm phạm?            | Không; điều kiện tin cậy, vị trí mạng của kẻ tấn công và các chiến lược xác minh khác xác định khả năng khai thác  |
| Có nghĩa là tất cả các chứng chỉ pháp lý đều không hợp lệ? | Không; tình trạng vô hiệu liên quan phụ thuộc vào nguồn gốc hoặc chuỗi chứng chỉ nào mà khách hàng không tin cậy.  |

Red Hat giới hạn rõ ràng việc khai thác trong các điều kiện trong đó máy khách vẫn chấp nhận chuỗi liên quan, kẻ tấn công sở hữu khóa riêng bị xâm phạm và có thể chặn kết nối trong mạng. Không nên nhầm lẫn phạm vi bảo hiểm rủi ro với số lượng các cuộc tấn công đã xảy ra. [10](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-10)

### Các trang web sử dụng CA khác cũng có thể bị mạo danh

Giả sử một trang web thực sự sử dụng chứng chỉ Let’s Encrypt và khách hàng của khách truy cập tin cậy nhiều CA công khai cùng một lúc. Kẻ tấn công có thể cố gắng sử dụng CA trung gian bị xâm nhập để tạo chứng chỉ khác cho cùng một tên miền. Khách hàng thường không yêu cầu trước rằng tên miền chỉ có thể sử dụng Let’s Encrypt; nếu chuỗi giả vẫn được chấp nhận, CA mà trang web thực sự sử dụng là không đủ để loại trừ các cuộc tấn công như vậy. [8](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-8)

Cơ chế này giải thích: Việc thay thế một chứng chỉ CA khác vốn bình thường ban đầu sẽ không tự động khôi phục lòng tin của khách hàng đối với CA bị xâm phạm. Điều thực sự cần phải cắt bỏ là con đường để khách hàng chấp nhận danh tính giả.

### Ba tác động cần được giải quyết riêng biệt

**Rủi ro mạo danh danh tính:** Khách hàng chưa chặn chuỗi liên quan có thể chấp nhận danh tính do kẻ tấn công giả mạo, khiến các yêu cầu nhạy cảm được gửi đến các dịch vụ giả mạo.

**Rủi ro về tính khả dụng của dịch vụ hợp pháp:** việc xóa niềm tin gốc có thể gây ra lỗi chứng chỉ cho các trang web hợp pháp khác, có thể cần di chuyển sang chuỗi được chấp nhận khác.

**Rủi ro bảo hiểm triển khai:** hệ điều hành có thể được khắc phục trong khi kho tin cậy đi kèm ứng dụng, môi trường ảo, hình ảnh vùng chứa cũ hoặc chương trình đã biên dịch vẫn giữ nguyên hành vi xác thực cũ.

Ba phạm vi này không giống nhau. Phản hồi của Cloudflare bao gồm xác thực danh tính từ xa, kho lưu trữ tin cậy được chia sẻ, hình ảnh cơ sở và ứng dụng riêng lẻ, minh họa lý do tại sao hai nhiệm vụ sau phải được xử lý riêng biệt. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)

## 3 CA và nhà cung cấp chứng chỉ bị ảnh hưởng

### Nhà cung cấp và loại tác động

| nhà cung cấp hoặc hệ thống                                       | Vai trò trong vụ việc này                                                                                       | Những ranh giới cần phân biệt                                                                                                                               |
| ---------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------- |
| eMudhra／emSign                                                   | Khóa riêng CA trung gian bị xâm phạm trực tiếp.                                                                 | Bạn không thể viết tất cả các gốc eMudhra và tất cả các chứng chỉ đều bị bẻ khóa                                                                            |
| Chuỗi chữ ký chéo liên quan đến Sectigo                          | Chứng chỉ chéo A đã được cấp cho cùng một lô khóa công khai bị ảnh hưởng, tạo thành một đường dẫn tin cậy khác. | Chứng chỉ chéo hoặc khóa chung tương ứng cần phải bị chặn; khóa riêng gốc Sectigo chưa được chứng minh là bị xâm phạm.                                      |
| Các cấp độ chứng chỉ liên quan cho Internet2/InCommon            | Một số chứng chỉ hợp pháp dựa vào root emSign ECC để xóa, liên quan đến việc di chuyển                          | Đó là tác động phụ của sự không tin tưởng vào root và không thể tính là phần giữa của 8 khóa yếu đó CA                                                      |
| Let's Encrypt, DigiCert, Google Trust Services, GlobalSign, v.v. | Không được liệt kê là bên có khóa riêng bị xâm phạm trong báo cáo này                                           | Giấy chứng nhận hợp pháp không bị vô hiệu một cách thống nhất; khách hàng dễ bị tổn thương vẫn có thể chấp nhận chứng chỉ giả mạo danh trang web họ phục vụ |
| CDN, nền tảng đám mây, đại lý chứng chỉ                          | Có thể cung cấp các chứng chỉ liên quan hoặc sử dụng kho ủy thác công cộng khi kết nối với nguồn gốc và API     | Để kiểm tra chuỗi chứng chỉ và trình xác thực thực tế, đừng chỉ nhìn vào nền tảng hoặc tên sản phẩm                                                         |

Thông báo của Mozilla ghi lại các khóa bị xâm phạm và chữ ký chéo của Sectigo. Cuộc thảo luận về sự cố công khai của Google đề cập đến việc di chuyển các hệ thống phân cấp Internet2/InCommon hợp pháp. [2](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-2)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5) Cloudflare sửa lỗi dịch vụ địa chỉ và sự tin cậy của khách hàng; chúng không biểu thị sự xâm phạm các khóa riêng CA của Cloudflare. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)

### Chuỗi chứng chỉ TLS và chữ ký chéo

Mối quan hệ sau đây chỉ mô tả các đường dẫn liên quan đến TLS lần này. Nó không bao gồm các đường dẫn ký mã và cũng không có nghĩa là các đường dẫn này vẫn được tin cậy trên tất cả các nền tảng. [17](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-17)

- `emSign ECC Root CA - G3` → `emSign Root TLS CA - G3` → TLS Trung gian Khóa công khai CA → Chứng chỉ giả mạo cho miền mục tiêu
- `AAA Certificate Services` → Bị ảnh hưởng TLS Khóa công khai CA trung gian → Chứng chỉ giả mạo cho miền mục tiêu

`emSign Root TLS CA - G3` là một nhà phát hành trực tiếp các sản phẩm trung gian TLS bị ảnh hưởng và bản thân nó có thể là điểm tựa đáng tin cậy ở một số cửa hàng. `emSign ECC Root CA - G3` cung cấp một lớp ký chéo khác. `AAA Certificate Services` của Sectigo tạo một đường dẫn bổ sung đến cùng khóa công khai CA trung gian. [17](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-17)

Do đó, có hai mức độ chi tiết khác nhau khi sửa chữa:

- **Chặn CA trung gian chính xác hoặc khóa chung:**, điều này có thể duy trì các hệ thống phân cấp hợp pháp khác trong cùng một gốc, nơi trình xác thực hỗ trợ cơ chế đó.
- **Xóa niềm tin gốc:** điều này có thể bảo vệ máy khách không có khả năng chặn CA trung gian, nhưng có thể ảnh hưởng đến khả năng tương thích. Tất cả các đường dẫn khác mà khách hàng chấp nhận cũng phải được bảo vệ. [5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

Không nên coi "Xóa tất cả các gốc Sectigo/eMudhra" là một bước chung bừa bãi, cũng như không nên chỉ xóa chứng chỉ có tên tương tự có nghĩa là tất cả các đường dẫn đều bị đóng.

## 4 Phạm vi phủ sóng của hệ điều hành và trình duyệt

### Nền tảng chính

| Nền tảng                                | Bố trí đã biết                                                                                                | Phạm vi cần kiểm tra khi sử dụng                                                                                                                                          |
| --------------------------------------- | ------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Windows và Windows Server               | Phân phối Microsoft bị chặn thông qua cập nhật danh sách tin cậy chứng chỉ tự động                            | Liệu thiết bị có nhận được bản cập nhật hay không; CA bundle độc lập không nhất thiết phải sử dụng đường dẫn xác minh của Windows                                         |
| macOS, iOS, iPadOS, v.v. Nền tảng Apple | Điều phối viên sự cố xác nhận rằng Apple đã triển khai biện pháp phong tỏa có liên quan                       | Mọi phiên bản cũ hơn và ứng dụng của bên thứ ba không được đảm bảo nhận được phạm vi bảo hiểm như nhau                                                                    |
| Android                                 | Google phân phối các khối tương đương thông qua dịch vụ Google Play                                           | ROM không có dịch vụ Google Play phải được xác minh theo thông báo của nhà sản xuất; sử dụng trình xác minh tích hợp để xác minh bổ sung                                  |
| Ubuntu                                  | Các bản sửa lỗi gói chứng chỉ hệ thống đã được cung cấp, bao gồm nhiều nhánh phiên bản hiện tại và cũ         | Phiên bản cũ của ESM hỗ trợ các điều kiện, gói chứng chỉ nội bộ container và thư viện tích hợp ứng dụng                                                                   |
| Debian và Devuan                        | Debian đã ghi ca-certificates đã sửa                                                                          | Bạn phải kiểm tra nhánh thực tế được sử dụng và gói đã cài đặt, đồng thời bạn không thể sao chép số phiên bản của nhánh khác.                                             |
| RHEL và các dẫn xuất                    | Danh sách chính thức là RHEL 6, 7, 8, 9, 10 và bao gồm các sản phẩm và hình ảnh liên quan có thể bị ảnh hưởng | Tính đến lần kiểm tra này, thông báo vẫn chưa liệt kê danh sách đầy đủ các bản sửa lỗi và lỗi sai; "Không tìm thấy bản cập nhật" không thể được coi là không bị ảnh hưởng |
| Fedora, Arch, Gentoo, Alpine, v.v.      | Người duy trì sự kiện đã biên soạn hồ sơ sửa chữa tương ứng                                                   | Được xác nhận độc lập bằng bản phát hành, nhánh phiên bản và hình ảnh                                                                                                     |
| FreeBSD                                 | Chính thức liệt kê tất cả các phiên bản được hỗ trợ và cung cấp sửa chữa cửa hàng tin cậy hệ thống            | Sau khi cập nhật, hãy khởi động lại quy trình daemon liên quan theo thông báo; kiểm tra riêng cửa hàng ủy thác ứng dụng độc lập.                                          |

Để biết thông tin tóm tắt về Windows, Apple và các bản phát hành, hãy xem [4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4); đối với Android, xem [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1); đối với Ubuntu, Debian, RHEL và FreeBSD Các bản ghi nhà phát hành lần lượt được hiển thị trong [8](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-8)–[11](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-11).

Các hệ thống không còn được hỗ trợ, thiết bị ngoại tuyến, NAS, bộ định tuyến và các môi trường nhúng khác cần xác nhận xem chúng có còn tin cậy vào chuỗi liên quan hay không và liệu chúng có kênh để nhận bản cập nhật phần mềm hoặc thu hồi hay không. Bản thân tên nền tảng không thể thay thế cho việc kiểm tra hành vi xác minh thực tế.

### Bảo vệ trình duyệt khác với bảo vệ hệ điều hành

Chrome sử dụng CRLSet để phân phối các khối khẩn cấp; Firefox sử dụng các cơ chế như OneCRL. Firefox cũng đã được phát hành kèm theo thông tin chặn nhằm cung cấp khả năng bảo vệ bổ sung cho các cấu hình không nhận được cài đặt từ xa đúng cách. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[3](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-3)

Một số cấu hình của Firefox Android đã không áp dụng chính xác danh sách cập nhật khi khởi động, danh sách mà Mozilla đã tuyên bố là đã được sửa bởi 158.0.2.. Do đó, trạng thái của 158.0.1 ban đầu không thể được mở rộng để bao gồm tất cả các cấu hình Android Firefox được bảo vệ. [2](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-2)

Các biện pháp đã được thực hiện để xác minh hệ thống Apple và Windows, nhưng điều đó không có nghĩa là tất cả các chương trình dòng lệnh trên cùng một máy sẽ trải qua quá trình xác minh hệ thống. Người duy trì sự kiện đã đặc biệt nhắc nhở rằng một số công cụ tích hợp macOS sử dụng các tệp chứng chỉ độc lập; phần phụ trợ TLS thực tế và nguồn CA phải được ghi lại khi kiểm tra. [4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4)

### Ranh giới bảo vệ cho tính minh bạch của chứng chỉ

Google xác nhận rằng trước khi triển khai khối, sáu TLS trung gian CA đã không cấp chứng chỉ TLS đã nhập nhật ký CT. Do đó, các máy khách Chrome thực thi CT có mức bảo vệ bổ sung. Thực tế này không loại trừ khả năng các máy khách khác không thực thi CT đã chấp nhận các chứng chỉ không có giấy tờ. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

“Hóa ra nó có thể được liên kết với root đáng tin cậy”, “điều kiện khai thác tiềm năng tồn tại” và “một cuộc tấn công đã xảy ra” là ba nhận định khác nhau và không nên thay thế cho nhau.

## 5 Đường cơ sở sửa chữa môi trường phát triển và thời gian chạy

Sau đây là thông tin cơ bản về các bản sửa lỗi đã được xác nhận và không phải là yêu cầu bắt buộc để ghim các bản phát hành này lâu dài. Các bản phân phối có thể sửa số phiên bản cũ hơn bằng cách di chuyển lại các bản vá và các lời khuyên bảo mật của chúng cũng cần được xem xét.

| thành phần          | Phiên bản được xác nhận hoặc phương pháp cập nhật                                       | Cân nhắc triển khai                                                                                                                                                                                             |
| ------------------- | --------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Node.js 24          | 24.22.1 hoặc cập nhật phiên bản ổn định của cùng chi nhánh                              | Chứa các bản cập nhật kho lưu trữ gốc và từ chối các móc khóa công khai bị chặn; kiểm tra đường dẫn Node thực sự được dịch vụ sử dụng và khởi động lại                                                          |
| Python certifi      | 2026.10.19 hoặc phiên bản mới hơn                                                       | Kiểm tra từng môi trường chạy thực tế; bạn không thể chỉ cập nhật một gói trong Python toàn cầu                                                                                                                 |
| pip                 | 26.2.2 hoặc phiên bản mới hơn                                                           | Cập nhật riêng pip trong môi trường ảo cũ và xem lại phiên bản sau khi tạo môi trường mới                                                                                                                       |
| uv                  | 0.13.4 hoặc phiên bản mới hơn                                                           | Cập nhật bản sao của công cụ khi nó được cài đặt thực sự                                                                                                                                                        |
| Go                  | 1.27.3 hoặc 1.26.10, phiên bản cập nhật của nhánh tương ứng cũng có sẵn                 | Xây dựng lại và triển khai các chương trình liên quan sau khi cập nhật chuỗi công cụ hoặc lấy tệp nhị phân sửa chữa của nhà cung cấp                                                                            |
| Oracle JDK          | Bản vá Critical cho các dòng phiên bản được hỗ trợ tương ứng                            | Các nhà xuất bản JDK khác nhau tuân theo thông báo của riêng họ; không có số phiên bản duy nhất áp dụng cho tất cả các bản phát hành Java                                                                       |
| Cloudflare Tunnel   | cloudflared 2026.10.2 hoặc phiên bản mới hơn                                            | Cập nhật các dịch vụ đang chạy; triển khai vùng chứa yêu cầu thay thế hình ảnh và triển khai lại                                                                                                                |
| Cloudflare One／WARP | Phiên bản máy khách cố định tương ứng với nền tảng hoặc phiên bản ổn định được cập nhật | Các biện pháp phía máy khách và phía máy chủ được xác nhận riêng biệt. Đối với các phiên bản nền tảng cụ thể, xem phụ lục [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7) |

Các hướng dẫn ban đầu cho Node, Python, Go, Oracle và Cloudflare lần lượt có sẵn trong [13](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-13), [12](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-12), [14](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-14), [15](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-15), [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7).

### Sự cố cơ sở dữ liệu chứng chỉ độc lập Python

Các quan chức của Python đã chỉ ra rằng pip cũ sẽ sử dụng sự kết hợp giữa hệ thống tin cậy và certifi tích hợp sẵn. Chỉ cần sửa đổi kho chứng chỉ hệ thống hoặc thêm tệp CA vào pip không thể loại trừ một cách đáng tin cậy sự tin cậy cũ được tích hợp sẵn của nó. Do đó, không thể sử dụng `PIP_CERT`, `REQUESTS_CA_BUNDLE` hoặc `--cert` làm sản phẩm thay thế sửa chữa phổ biến cho pip cũ hơn. [12](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-12)

Kiểm tra môi trường ảo hiện có sau khi cập nhật. Đồng thời kiểm tra phiên bản pip thực sự được cài đặt trong môi trường mới tạo để các thành phần bootstrap cũ hơn không giới thiệu lại các công cụ dễ bị tấn công. Để nâng cấp lần đầu, hãy làm theo các nguồn tải xuống và các bước xác minh SHA-256 trong phần tư vấn của Python trước khi cập nhật các gói khác. [12](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-12)

### Go và các chương trình được biên dịch khác

Bản sửa lỗi cho Go đã thay đổi logic xác thực cho `crypto/x509`. [14](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-14) Từ góc độ cơ chế triển khai, việc cập nhật trình biên dịch trên máy phát triển sẽ không ghi lại tệp nhị phân đã được triển khai. Để có được tính năng chặn lớp mã mới, ứng dụng phải được xây dựng lại và thay thế hoặc nên sử dụng phiên bản cập nhật do nhà cung cấp cung cấp. Liệu một chương trình cũ hơn có thể hưởng lợi từ các bản cập nhật gốc của hệ thống hay không tùy thuộc vào đường dẫn xác minh thực tế mà nó sử dụng.

### Thùng chứa và ứng dụng đóng gói

Gói chứng chỉ hệ thống, các phần phụ thuộc của ứng dụng và thời gian chạy trong vùng chứa thường được xác định bởi nội dung hình ảnh. Cập nhật máy chủ không bằng cập nhật nội dung hình ảnh; hình ảnh cơ bản và các phần phụ thuộc cần được cập nhật, đồng thời phiên bản đang chạy thực tế cần được xây dựng lại, triển khai và kiểm tra. Các ứng dụng đóng gói và chương trình máy tính để bàn đi kèm thời gian chạy riêng cũng phải được cập nhật theo kênh phát hành của nhà cung cấp. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)[10](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-10)

## 6 Hướng dẫn thực hiện sửa chữa

### Xác định đối tượng kiểm tra trước

Nên ghi lại các thông tin sau cho các dịch vụ cần được bảo vệ, sau đó chọn đường dẫn sửa chữa tương ứng. Đây là danh sách kiểm tra triển khai và không yêu cầu tất cả các thành phần phải có mặt trên mọi hệ thống.

| dự án                   | Những gì cần được ghi lại                                                                                                |
| ----------------------- | ------------------------------------------------------------------------------------------------------------------------ |
| Ứng dụng và sử dụng     | Trình duyệt, ứng dụng khách API thanh toán, dịch vụ gửi email, công cụ tải xuống, proxy ngược, v.v.                      |
| vị trí vận hành         | Máy chủ, vùng chứa, máy ảo, ứng dụng máy tính để bàn hoặc thiết bị di động                                               |
| Xác minh việc thực hiện | Trình xác thực hệ điều hành, thư viện OpenSSL, Node, Python, Java hoặc triển khai tùy chỉnh ứng dụng                     |
| nguồn đáng tin cậy      | Gói hệ thống CA, certifi, JDK Trust Store, CA bundle tích hợp hoặc cấu hình doanh nghiệp                                 |
| Tình trạng sửa chữa     | Phiên bản đã cài đặt, nguồn bản vá, khởi động lại hay triển khai lại                                                     |
| Kết quả nghiệm thu      | Chuỗi bị ảnh hưởng có bị từ chối hay không, kết nối kinh doanh bình thường có thành công hay không và thời gian kiểm tra |

Hướng dẫn dành cho nhà phát triển Cloudflare nêu rõ rằng SDK có thể ủy quyền xác minh cho các thành phần khác; chỉ cập nhật SDK cấp cao nhất không nhất thiết thay đổi chính sách tin cậy thực sự. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)

### Hệ điều hành và trình duyệt

**Windows:** kích hoạt và xác minh cập nhật danh sách tin cậy chứng chỉ tự động. Phân phối các bản cập nhật thông qua các chính sách quản lý đã được thiết lập. Các thiết bị ngoại tuyến hoặc các thiết bị bị tắt cập nhật tự động cần áp dụng biện pháp chặn thông qua quy trình quản lý phù hợp. Kiểm tra riêng các chương trình không sử dụng xác thực hệ thống Windows. [4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4)

**Apple Nền tảng:** Cập nhật toàn bộ hệ thống, thành phần bảo mật và ứng dụng. Đối với các công cụ phát triển trên macOS, hãy kiểm tra phần phụ trợ TLS, tệp chứng chỉ và nguồn cài đặt. Không thể phán đoán rằng toàn bộ máy đã được sửa chữa chỉ vì Safari đã từ chối dây chuyền thử nghiệm. [4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4)

**Android:** cập nhật các dịch vụ Google Play trên các thiết bị có nó. Google tuyên bố rằng việc khởi động lại thiết bị có thể kích hoạt bản cập nhật ngay lập tức. Đối với các thiết bị không có các dịch vụ đó, hãy làm theo lời khuyên của nhà cung cấp hoặc ROM; Tuyên bố bảo hiểm của Google không tự động áp dụng cho mọi thiết bị Android. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)

**Ubuntu/Debian:** cập nhật gói chứng chỉ từ kho được hỗ trợ và kiểm tra tư vấn cho bản phân phối đã cài đặt. Ví dụ: hệ thống dựa trên APT có thể sử dụng:

```bash
sudo apt update
sudo apt install --only-upgrade ca-certificates
dpkg-query -W -f='${Package} ${Version}\n' ca-certificates
```

Các bản cập nhật liên quan cho Ubuntu 22.04, 24.04, 26.04 và 26.10 là hỗ trợ tiêu chuẩn; các phiên bản trước đó nên kiểm tra trạng thái kho và hỗ trợ ESM. Sau khi lệnh kết thúc thành công, bạn vẫn nên so sánh phiên bản gói sửa lỗi trong bản tin. [8](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-8)[9](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-9)

**RHEL và các sản phẩm liên quan:** Kiểm tra gói chứng chỉ và lỗi bảo mật theo kênh sản phẩm. Việc kiểm tra phiên bản có thể được thực hiện bằng cách sử dụng:

```bash
rpm -q ca-certificates
```

Sử dụng cơ chế cập nhật DNF/YUM được hỗ trợ để nhận các bản vá của nhà cung cấp; nếu kênh chưa cung cấp bản sửa lỗi, đừng coi "không có gói có thể cập nhật" là an toàn. Khi cần tạm thời loại bỏ niềm tin gốc, hãy áp dụng các biện pháp được nhà sản xuất liệt kê rõ ràng và đánh giá tính tương thích của chứng chỉ kinh doanh hợp pháp. [10](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-10)

**FreeBSD:** cập nhật nhánh hệ thống liên quan theo chỉ dẫn của tư vấn chính thức, sau đó khởi động lại daemon bằng cấu hình tin cậy OpenSSL bị ảnh hưởng hoặc khởi động lại hệ thống. [11](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-11)

### Ứng dụng và hình ảnh

Sau khi hoàn thành các bản cập nhật phụ thuộc chứng chỉ và thời gian chạy tương ứng, hãy kiểm tra đường dẫn tệp thực thi nơi dịch vụ thực sự đang chạy để tránh thiết bị đầu cuối đã chuyển sang phiên bản mới và daemon vẫn sử dụng thư mục cài đặt cũ. Đối với Python đa môi trường, bộ chứa dịch vụ và ứng dụng đi kèm thời gian chạy riêng, chúng phải được kiểm tra riêng.

Đối với các thành phần cần được xây dựng lại, hãy lưu phiên bản xây dựng, phiên bản phụ thuộc và ID hình ảnh triển khai. Đối tượng chấp nhận là phiên bản đang chạy thực tế và không thể chỉ kiểm tra thẻ mới trong sổ đăng ký hình ảnh hoặc máy xây dựng. [7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)[12](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-12)[14](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-14)

### Di chuyển chứng chỉ trang web

Nếu chuỗi của trang web chứa CA trung gian bị thu hồi hoặc bị chặn hoặc cuối cùng dựa vào một gốc không đáng tin cậy, hãy lấy một chuỗi khác mà khách hàng vẫn chấp nhận. Cài đặt chuỗi chứng chỉ máy chủ hoàn chỉnh và kiểm tra mọi hoạt động xâm nhập, bao gồm bộ cân bằng tải, proxy ngược, điểm cuối CDN và nguồn gốc có thể truy cập trực tiếp. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

Việc di chuyển có cần thiết hay không dựa trên chuỗi thực tế. Chỉ lọc theo thương hiệu bán chứng chỉ có thể bỏ lỡ mối quan hệ bán lại hoặc ký kết chéo; chỉ chờ gia hạn hết hạn thường xuyên có thể không nhất thiết phải hoàn tất quá trình di chuyển trước khi cửa hàng gốc được cập nhật.

Đối với các chứng chỉ trang web thông thường khác do CA cấp không dựa vào root bị ảnh hưởng thì không cần phải ký lại vì sự cố này. Đồng thời, bản thân máy chủ trang web vẫn phải thực hiện kiểm tra sửa chữa phía máy khách khi gọi các dịch vụ bên ngoài.

## 7 Xác minh rằng bản sửa lỗi thực sự có hiệu lực

### Kiểm tra phiên bản và kiểm tra hành vi được thực hiện riêng biệt

Kiểm tra phiên bản được sử dụng để xác nhận rằng các bản vá hoặc thành phần cố định đã được triển khai; kiểm tra hành vi được sử dụng để xác nhận rằng ứng dụng thực sự sử dụng đường dẫn xác minh dự kiến. Hai bước kiểm tra này giải quyết các vấn đề khác nhau và không thể thay thế chúng bằng "Lệnh cập nhật được thực thi thành công".

Người duy trì sự kiện cung cấp tài liệu về địa điểm thử nghiệm và chuỗi chứng chỉ, còn lối vào tập trung ở phụ lục [4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4). Nó phải được xác minh trong môi trường hoạt động thực tế của ứng dụng đích, duy trì cấu hình xác minh chứng chỉ thông thường. [4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4)[7](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-7)

| Kiểm tra kết quả                                                              | Những kết luận có thể rút ra                                                  |
| ----------------------------------------------------------------------------- | ----------------------------------------------------------------------------- |
| Từ chối rõ ràng vì chuỗi bị ảnh hưởng không đáng tin cậy                      | Chỉ ra rằng đường dẫn xác minh đang được kiểm tra đã từ chối chuỗi            |
| Chấp nhận chuỗi bị ảnh hưởng bình thường                                      | Cho biết đường dẫn này cần tiếp tục được sửa chữa hoặc kiểm tra cấu hình.     |
| Lỗi DNS, hết thời gian kết nối, từ chối proxy hoặc không thể truy cập dịch vụ | Không thể kết luận rằng rủi ro chứng chỉ đã được loại bỏ dựa trên điều này.   |
| Trình duyệt từ chối nhưng lệnh gọi ứng dụng không được kiểm tra               | Nó chỉ có thể xác nhận trình duyệt chứ không phải chương trình nền.           |
| Chuỗi A đã bị từ chối                                                         | Vẫn cần xem xét liệu khách hàng có chấp nhận đường dẫn ký chéo khác hay không |

Quá trình kiểm tra cũng phải bao gồm các kết nối kinh doanh thông thường để tránh nhầm lẫn tất cả các lỗi yêu cầu là việc sửa chữa thành công sau các lỗi kinh doanh do mất đi quá nhiều niềm tin.

### Điều kiện hoàn thành đề xuất

- Nguồn cập nhật và phiên bản của các thành phần bị ảnh hưởng đều được ghi lại.
- Phiên bản đang chạy tương ứng đã được khởi động lại, xây dựng lại hoặc triển khai lại.
- Ứng dụng thực tế từ chối chuỗi bị ảnh hưởng và xác minh TLS cho hoạt động kinh doanh thông thường tiếp tục hoạt động.
- Không có cấu hình để tạm thời tắt xác minh chứng chỉ nhằm khôi phục kết nối.
- Nếu có liên quan đến quá trình di chuyển chứng chỉ trang web, tất cả các lối vào bên ngoài đã được chuyển đổi và xác minh.

Các điều kiện hoàn thiện nêu trên là gợi ý cho việc nghiệm thu vận hành và bảo trì đối với việc thải bỏ này; nó không tương đương với việc chứng minh rằng thiết bị không có vấn đề an toàn nào khác.

## 8 Ranh giới rủi ro và lưu lượng truy cập HTTPS trong lịch sử

### Ba loại chìa khóa có công dụng khác nhau

| chìa khóa                | Mục đích chính                                                         |
| ------------------------ | ---------------------------------------------------------------------- |
| Khóa riêng CA            | Ký tên và ràng buộc khóa công khai trong chứng chỉ                     |
| Khóa riêng của trang web | Chứng minh danh tính máy chủ trong chứng chỉ bắt tay TLS được xác thực |
| khóa phiên               | Bảo vệ dữ liệu thực sự được truyền trên một kết nối                    |

Việc lấy khóa riêng CA không tương đương với việc lấy khóa riêng của trang web hoặc tất cả các khóa phiên. Kết nối thông thường của A với tính bảo mật chuyển tiếp bằng cách sử dụng trao đổi khóa tạm thời sẽ không tự động hiển thị các phiên lịch sử chỉ vì khóa ký dài hạn sau đó bị xâm phạm. Để biết các thuộc tính bảo mật có liên quan của TLS 1.3, hãy xem RFC 8446. [16](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-16)

Rủi ro chính lần này xảy ra trong giai đoạn xác thực: nếu máy khách chấp nhận chứng chỉ của máy chủ giả, nó có thể thiết lập kết nối vẫn được mã hóa với kẻ tấn công. TLS 1.3 cũng yêu cầu xác thực đáng tin cậy; chỉ cần nâng cấp phiên bản giao thức không thể thay thế cho việc chặn CA.

### Những phán xét có thể và không thể được đưa ra vào lúc này

**Đã xác nhận:**, khóa riêng CA trung gian cụ thể đã bị xâm phạm; các đường dẫn tin cậy của công chúng bị ảnh hưởng có phạm vi tiếp cận rộng rãi; các nền tảng chính và một số hệ sinh thái phần mềm đã hành động. [1](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-1)[4](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-4)[5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

**Không được xác định bởi sự cố này:** rằng tất cả người dùng đã gặp phải các cuộc tấn công trung gian, rằng các khóa riêng CA khác đã bị xâm phạm, rằng tất cả lưu lượng truy cập HTTPS lịch sử đều có thể giải mã được hoặc việc cập nhật một trình duyệt sẽ bảo vệ mọi ứng dụng trên thiết bị.

Phán quyết cuối cùng về một dịch vụ cụ thể phải dựa trên chuỗi chứng chỉ, chính sách xác minh, các thành phần đang chạy thực tế và trạng thái cập nhật, chứ không chỉ dựa trên việc thanh địa chỉ có ghi HTTPS hay không.

## Phụ lục A Tên CA trung gian bị ảnh hưởng

Các tên sau đây hỗ trợ việc kiểm tra tài sản. Tên không thay thế dấu vân tay của chứng chỉ hoặc mã định danh khóa công khai. Việc so khớp tự động phải sử dụng số nhận dạng chính xác do người duy trì sự cố hoặc nhà cung cấp công bố, bao gồm cả chứng chỉ có chữ ký chéo. [5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)

| Giữa CA            | Mục đích | Các tổ chức liên kết |
| ------------------ | -------- | -------------------- |
| EM EV TLS CA - G3B | TLS      | eMudhra BV           |
| EM OV TLS CA - G3B | TLS      | eMudhra BV           |
| EM DV TLS CA - G3B | TLS      | eMudhra BV           |
| EM EV TLS CA - G3C | TLS      | eMudhra Inc          |
| EM OV TLS CA - G3C | TLS      | eMudhra Inc          |
| EM DV TLS CA - G3C | TLS      | eMudhra Inc          |
| EM OV CS CA - G3B  | ký mã    | eMudhra BV           |
| EM OV CS CA - G3C  | ký mã    | eMudhra Inc          |

TLS không hoàn toàn giống cơ chế xác thực và thu hồi như ký mã. Trọng tâm của bài viết này là HTTPS/TLS; môi trường ký mã phải sử dụng Microsoft, JDK hoặc các nhà cung cấp phần mềm liên quan cho mục đích xác minh này và kết quả kiểm tra trình duyệt không được coi là sự chấp nhận ký mã. [5](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-5)[15](https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide#source-15)

## Phụ lục B Đường dẫn tham khảo

Các nguồn sau đây đã được xác minh vào ngày 22 tháng 10 năm 2026. Thông báo luân phiên có thể tiếp tục được cập nhật và trạng thái cũng như phiên bản trong văn bản phải được hiểu dựa trên ngày của tài liệu này.

### Sự kiện sự cố và xử lý nền tảng

**\[1] Google Chrome và Android Thông báo chính thức** Mô tả các lỗ hổng khóa riêng, chặn SPKI, phân phối dịch vụ Google Play, bảo vệ CT và kế hoạch xóa kho lưu trữ gốc Chrome. [Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates](https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/)

**\[2] Mozilla Bugzilla 2083449 Bản ghi sự kiện** Chứa các báo cáo gốc, xác minh độc lập, điều tra quá trình tạo, các bản sửa lỗi tiếp theo cho Firefox Android và các cuộc thảo luận về di chuyển chứng chỉ pháp lý; tập trung vào các nhận xét 5, 11, 29 và 30. [eMudhra Private key compromise of Intermediate Certificates](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449)

**\[3] Mozilla Firefox Thông báo bảo mật** Mô tả cách phân phối khẩn cấp OneCRL và việc xử lý Firefox/NSS sau đó. [Protecting Firefox users following the compromise of eMudhra intermediate certificates](https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/)

**\[4] Điều phối viên sự kiện Dennis Jackson Cổng thông tin tóm tắt và phát hiện bảo trì** Cung cấp hướng dẫn bổ sung về trạng thái sửa chữa nền tảng và phần mềm, lối vào kiểm tra, tài liệu chuỗi chứng chỉ công cộng và các môi trường như Windows/macOS. Kết quả kiểm tra chỉ thể hiện các đường dẫn xác minh thực tế đã được kiểm tra. [eMudhra Intermediate CA Compromise](https://emudhra.we-have-a-problem.com/)

**\[5] Mozilla Thông báo dành cho nhà bảo trì phân phối và cửa hàng tin cậy** Mô tả 6 TLS và 2 trung gian ký mã CA, Sectigo ranh giới xử lý ký chéo, thu hồi và ủy thác gốc, đồng thời liệt kê chứng chỉ chính xác và nhận dạng khóa công khai. [oss-security eMudhra Intermediates Compromise](https://www.openwall.com/lists/oss-security/2026/10/20/1)

**\[6] eMudhra Tuyên bố sự kiện chính thức** Cung cấp lời giải thích sơ bộ của nhà sản xuất về quy trình tạo khóa; nguyên nhân gốc rễ chính xác vẫn sẽ phải tuân theo kết luận của cuộc điều tra đã hoàn tất. [eMudhra Statement on Recent Certificate Security Incident](https://emudhra.com/en/post/certificate-security-incident)

**\[7] Cloudflare Hướng dẫn khắc phục sự cố và sửa chữa chính thức** Bao gồm WARP, Cloudflare Tunnel, xác minh trang web gốc, phụ thuộc thời gian chạy, cập nhật hình ảnh và phương pháp xác minh. [8 eMudhra certificates are compromised Here is what you need to know](https://blog.cloudflare.com/emudhra-certificate-compromise/)

### Hệ điều hành và phân phối

**\[8] Ubuntu Thông báo sửa chữa chính thức** Liệt kê các gói sửa lỗi ca-certificates, các kênh hỗ trợ và các bước cập nhật được nhắm mục tiêu cho từng phiên bản. [eMudhra CA compromise fixes available](https://ubuntu.com/blog/emudhra-ca-compromise-fixes-available)

**\[9] Debian Sự cố chính thức và hồ sơ sửa chữa** Bản ghi sửa lỗi của người bảo trì và gói phát hành tương ứng phải được lấy làm tiêu chuẩn và các đề xuất tạm thời sớm trong cuộc thảo luận vấn đề không được coi là giải pháp cuối cùng. [Debian bug 1151413 eMudhra Intermediate CA key compromise](https://bugs.debian.org/1151413)

**\[10] Red Hat Bản tin an toàn chính thức RHSB 2026 012** Liệt kê RHEL 6 đến 10, các tác động liên quan đến sản phẩm và thùng chứa cũng như các mục khắc phục sự cố phát hành và xử lý tạm thời. [Certificate compromise eMudhra](https://access.redhat.com/security/vulnerabilities/RHSB-2026-012)

**\[11] FreeBSD Bản tin bảo mật chính thức** Cung cấp các nhánh hệ thống bị ảnh hưởng, các phiên bản sửa chữa và yêu cầu khởi động lại dịch vụ. [FreeBSD SA 26 73 caroot](https://www.freebsd.org/security/advisories/FreeBSD-SA-26:73.caroot.asc)

### Thời gian chạy và giao thức

**\[12] Python Mô tả sự kiện chính thức** Cung cấp các đường cơ sở sửa chữa cho pip, certifi, uv, v.v., giải thích vấn đề của kho ủy thác độc lập pip cũ và cung cấp phương pháp nâng cấp ban đầu với xác minh SHA-256. [Information for Python users regarding eMudhra emSign CA certificate security incident](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576)

**\[13] Node.js 24.22.1 Phát hành chính thức** Chứa các bản cập nhật cửa hàng gốc NSS và từ chối các thay đổi có chứa chuỗi chứng chỉ khóa công khai bị chặn. [Node.js 24.22.1 security release](https://github.com/nodejs/node/releases/tag/v24.22.1)

**\[14] Go Bản phát hành bảo mật chính thức** Mô tả Bản cập nhật lọc chuỗi chứng chỉ crypto/x509 cho Go 1.27.3/1.26.10. [Go 1.27.3 and Go 1.26.10 are released](https://groups.google.com/g/golang-announce/c/66pojueaQek)

**\[15] Oracle JDK Hướng dẫn thải bỏ chính thức** Giải thích bản vá quan trọng JDK và các biện pháp cấu hình liên quan khi không thể nâng cấp ngay lập tức. [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra)

**\[16] TLS 1.3 Tiêu chuẩn giao thức RFC 8446** Xem phụ lục E.1 để biết hướng dẫn về xác thực danh tính, trao đổi khóa tạm thời và bảo mật chuyển tiếp. [The Transport Layer Security Protocol Version 1.3](https://www.rfc-editor.org/rfc/rfc8446.html)

**\[17] Dữ liệu về mối quan hệ phát hành và chứng chỉ gốc liên quan đến sự kiện** Được sử dụng để hiểu mối quan hệ giữa người phát hành trực tiếp và ký kết chéo; trạng thái bao gồm cửa hàng gốc không thể thay thế trạng thái thu hồi hoặc chặn mới nhất của máy khách. [Root certificate relationships JSON](https://emudhra.we-have-a-problem.com/roots.json)

## Tư vấn bảo trì an ninh

Bạn không chắc chắn những thay đổi về độ tin cậy của chứng chỉ ảnh hưởng đến hệ thống của mình như thế nào? Chúng tôi có thể giúp đánh giá các khách hàng bị ảnh hưởng và lập kế hoạch cập nhật bảo mật.

[Thảo luận về các cập nhật bảo mật](<https://keendigit.com/vi/contact?service=security-remediation#form>)

[Trang gốc](<https://keendigit.com/vi/insights/emudhra-ca-incident-remediation-guide>) · [chỉ mục nội dung](<https://keendigit.com/vi/llms.txt>)

KeenDigit LLC · ID hồ sơ Wyoming: 2026-002106155

[Xác minh với Bộ trưởng Ngoại giao Wyoming](<https://wyobiz.wyo.gov/Business/filingSearch.aspx>)

© 2026 KeenDigit LLC · Sheridan, Wyoming, Hoa Kỳ · Mọi quyền được bảo lưu.