JetBrains реагирует на общеотраслевой инцидент безопасности, связанный с центром сертификации (ЦС) eMudhra, который затрагивает доверие к сертификатам в ряде программных продуктов и сред разработки, включая несколько продуктов JetBrains. Наши команды безопасности и разработки работают над устранением последствий и выпуском обновлений безопасности. Мы рекомендуем клиентам поддерживать продукты JetBrains, операционные системы и среды разработки в актуальном состоянии и следовать приведенным ниже рекомендациям.
Что произошло
17 октября 2026 года исследователь безопасности сообщил, что закрытые ключи, связанные с восемью промежуточными центрами сертификации eMudhra, могут быть восстановлены из-за уязвимостей в процессе их генерации.
Эти уязвимости могут позволить злоумышленнику создавать сертификаты, которые кажутся доверенными для систем, продолжающих принимать затронутые цепочки сертификатов.
Поставщики браузеров и операционных систем предприняли шаги по блокировке затронутых сертификатов. Однако приложения, использующие отдельные или встроенные хранилища доверенных сертификатов, могут потребовать дополнительных обновлений.
Влияние на JetBrains
Наши команды безопасности и разработки оценивают масштаб последствий для всего портфолио продуктов JetBrains. Мы установили, что этот инцидент затрагивает множество продуктов, включая наши IDE, Toolbox App, TeamCity, YouTrack, Hub и другие инструменты разработки.
Нам неизвестны случаи эксплуатации этой проблемы против клиентов JetBrains.
Многие продукты JetBrains, как настольные и локальные (on-premises), так и облачные сервисы, работают на базе Java. В частности, наши IDE используют JetBrains Runtime (нашу сборку среды выполнения Java). JetBrains Runtime, как и другие среды выполнения Java (например, Oracle JDK, OpenJDK и Amazon Corretto), доверяла затронутым сертификатам.
Мы расставляем приоритеты устранения уязвимостей на основе степени их серьезности и потенциального влияния на клиентов, а также выпускаем обновления по мере готовности исправлений.
Обновления безопасности и статус инфраструктуры
Мы работаем над обновлениями безопасности для всех затронутых дистрибутивов продуктов и инструментов JetBrains. В таблице ниже показано, какие обновления уже доступны, а какие еще находятся в разработке.
JBR 21: 21.0.11b1163.125, 21.0.9b1038.91.
См. релизы на GitHub
Пожалуйста, проверьте сертификаты, загруженные пользователями.
Для Docker разверните обновленные образы после их публикации и пересоздайте контейнеры.
Вы также можете пропатчить существующие образы, используя эти инструкции.
Подробные инструкции появятся в отдельной записи блога.
Последние образы Docker jetbrains/youtrack и jetbrains/youtrack-windows.
Еще не исправлено: образы линтеров (2026.2 и более старые) и Qodana CLI (2026.2.2).
Линтеры и CLI: обновите после публикации исправленных версий.
Явно задайте Node.js 24.22.1 или новее в вашем скрипте сборки Gradle, см. Change Node.js version.
Если вы используете сервис инструментной цепочки Node.js, сначала установите kotlin.js.nodeJsToolchainMode=disable в gradle.properties.
Обновите используемую среду выполнения Java.
Если вы создаете собственную IDE на базе MPS, пересоберите ее на исправленной версии MPS, чтобы она получила обновленную среду выполнения Java и встроенный браузер.
Для более старых версий MPS удалите два корневых сертификата из встроенной среды выполнения Java, как описано ниже.
Что касается облачных сервисов JetBrains, мы регулярно обновляем наши облачные службы и инфраструктуру, включая JetBrains Air, Qodana Cloud, TeamCity Cloud, YouTrack Cloud, Datalore и сервисы JetBrains AI. Для этих сервисов от клиентов не требуется никаких действий. Одно исключение: клиенты TeamCity Cloud, использующие агенты сборки, размещенные самостоятельно, должны проверить среду выполнения Java на этих агентах и при необходимости обновить ее.
Наши команды продолжают работу по устранению уязвимостей в других затронутых продуктах. Мы будем обновлять эту публикацию с учетом рекомендаций для конкретных продуктов по мере появления исправления.
Что делать клиентам
Мы рекомендуем клиентам выполнить следующие действия:
Установите доступные обновления безопасности JetBrains. Обновите затронутые продукты до последних исправленных версий по мере их появления.
Поддерживайте операционные системы и среды выполнения в актуальном состоянии. Применяйте последние обновления безопасности от производителей операционных систем и сред выполнения, включая обновления хранилищ доверенных сертификатов. Дополнительные технические рекомендации см. в разделе рекомендации по инциденту eMudhra для разработчиков.
Следуйте инструкциям для конкретных продуктов. Для продуктов, для которых обновления безопасности еще не доступны, выполняйте рекомендуемые действия по минимизации рисков, указанные в бюллетенях по безопасности JetBrains и документации к продуктам.
Если вы не можете обновить продукт прямо сейчас, обновите используемую им среду выполнения Java. Если это тоже невозможно, удалите два корневых сертификата на вершине всех затронутых цепочек (emSign ECC Root CA – G3 и AAA Certificate Services) из хранилища доверенных сертификатов этой среды выполнения Java либо укажите продукту на копию хранилища сертификатов без них. Также обновите пакет ca-certificates вашей ОС, так как многие инструменты доверяют и системному хранилищу сертификатов.
Полное отключение проверки сертификатов или какое-либо иное ослабление механизмов проверки сертификатов в качестве временного решения НЕ рекомендуется.
Что дальше
Наши команды безопасности и разработки продолжают проверять доверие к сертификатам в затронутых продуктах JetBrains и готовят дополнительные обновления безопасности там, где это необходимо.
Мы будем обновлять эту публикацию по мере появления исправлений и публиковать рекомендации для конкретных версий в примечаниях к выпускам продуктов и бюллетенях безопасности.
