Осем ключа. Толкова са частните ключове, за които Mozilla е получила доклад, че са компрометирани, и всеки е на междинен сертификат на eMudhra. С такъв ключ може да се издаде фалшив сертификат за чужд сайт. За да го ползва, нападателят трябва да е между теб и сайта.
Факт
Фактите: на 20 октомври 2026 г. Mozilla съобщи, че е получила доклад за компрометирани частни ключове, свързани с осем междинни сертификата на eMudhra, и че с тях могат да се издават фалшиви HTTPS сертификати за сайтове, които нападателят не контролира. За да ги използва, нападателят трябва да прихване връзката на потребителя. Mozilla блокира сертификатите през OneCRL, централния си списък за отнемане на доверие, без потребителят да обновява или рестартира Firefox; по думите ѝ блокирането е стигнало до потребителите със стандартни настройки за под три часа след доклада, получен в събота, 17 октомври. Версиите Firefox 158.0.1, ESR 115.43.1 и ESR 153.5.1 носят същата защита за малцинството, чиито настройки може да са спрели обновяването на OneCRL. NSS 3.131.1 маха от списъка с доверени корена, подписал междинните сертификати, и така пази други програми, които ползват списъка на Mozilla и не получават OneCRL. На 21 октомври Mozilla пусна и Firefox за Android 158.0.2, защото част от клиентите не прилагали промените във вградения списък веднага след стартиране. Cloudflare, която научила за случая на 19 октомври, пише, че ключовете са слаби и с тях може да се подправи сертификат за всеки домейн.
Не е грешка в код, а изтекли ключове. Затова CVE номер няма и запис в регистър, на който да стъпим, също; има две официални обяви, на Mozilla и на Cloudflare.
Виждал съм го на врата на събитие: пропускът минава, защото е с правилния печат. Щом печатът е в чужди ръце, пропускът не доказва нищо, а охраната не може да чака следващата смяна. Тук охраната е браузърът. Той не чака обновяване. Добавя ред в списък и доверието към осемте сертификата спира. Cloudflare го казва по свой начин: производителите на браузъри оправили проблема с един превключвател.
Изтече ли ключът на подписващия, доверието се спира от списък, не от обновление.
Чуждите програми са другата половина. OneCRL е канал на Firefox. Програма, която ползва списъка на Mozilla, но няма този канал, получава поправката с NSS 3.131.1, тоест с обновяване.
Как са изтекли ключовете, не пише в нито един от двата източника. Дали са издавани фалшиви сертификати, също: Cloudflare казва само, че в своите услуги не е открила активна експлоатация. Какво казва самата eMudhra, не знам.
Ако поддържаш програма с вграден списък на доверени сертификати, питай се колко време ти трябва да го смениш. На Firefox му трябваха под три часа.
Официални първоизточници
Mozilla Security Blog - Protecting Firefox users following the compromise of eMudhra intermediate certificates, 20.10.2026Cloudflare - eMudhra certificate compromise, 20.10.2026Визуалът към статията е генериран код-арт, без чужди изображения.