Скомпрометированы 8 сертификатов eMudhra. Вот что вам нужно знать

19 октября 2026 года примерно в 17:00 по всемирному координированному времени (UTC) компании Cloudflare стало известно, что закрытые ключи, связанные с восемью промежуточными сертификатами eMudhra, были скомпрометированы. Эти сертификаты пользовались широким доверием браузеров, операционных систем, а также внутри Cloudflare. Поскольку сами ключи являются слабыми, злоумышленник может создать поддельный сертификат для любого домена и использовать его для выдачи себя за серверы с целью перехвата или изменения трафика. Это серьезный инцидент безопасности, затрагивающий весь Интернет. Для справки: вот ссылка с дополнительной информацией о том, как работают SSL-сертификаты и почему они так критически важны для работы Интернета.

Мы немедленно расставили приоритеты в отношении исправления критических сервисов по всей инфраструктуре Cloudflare, чтобы защитить наших клиентов до публичного раскрытия уязвимости. Наш анализ безопасности не выявил активного использования этой проблемы на сервисах Cloudflare.

Мы выпустили обновления для клиентов Cloudflare One Clients, также известных как WARP или приложение 1.1.1.1, а также для Cloudflare Tunnel, известного как cloudflared. Мы также внедрили защитные меры в наших продуктах CDN, Developer и Zero Trust. Если вы используете Cloudflare Zero Trust с шлюзом Gateway и актуальным клиентом (см. ниже), вы защищены автоматически.

Наша реакция

Мы расставили приоритеты в отношении обновления сервисов, которые используют публичные сертификаты для аутентификации удаленных конечных точек, включая прокси-серверы, подключающиеся к серверам-источникам, и приложения, вызывающие внешние API. Параллельно мы обновили общие хранилища доверенных сертификатов, базовые образы и другие общие компоненты, обеспечив общий путь устранения уязвимостей для сервисов, которые наследуют доверие к сертификатам из этих источников. Мы сочетали эти обновления с перезагрузками, перезапусками и развертыванием образов, необходимыми для их активации. Приложения со встроенными или пользовательскими хранилищами доверенных сертификатов прошли отдельную оценку и были обновлены. Эта работа касается аутентификации на основе сертификатов, а не уязвимости в алгоритмах шифрования TLS.

Команды по всей компании Cloudflare в настоящее время работают над дальнейшим устранением последствий. Мы добиваемся прогресса, но предстоит сделать еще очень многое. Некоторым клиентам потребуется принять меры в отношении программного обеспечения или конфигураций доверия, которые они используют, особенно на своих серверах-источниках. Рекомендуемые действия сведены ниже.

Что делать клиентам

Cloudflare One Client: Обновитесь до версий: v2.5.6 (Android), v1.12.16 (iOS), Windows Desktop (2026.8.2115.0), macOS (2026.8.2115.0), Linux (2026.8.2115.0)

Приложение 1.1.1.1: Обновитесь до версий: v6.38.10 (Android), v6.31.7 (iOS), Windows Desktop (2026.8.2115.0), macOS (2026.8.2115.0), Linux (2026.8.2115.0)

Мы обновляем функцию автоматического SSL/TLS, чтобы она автоматически уведомляла вас, если вы все еще используете эти ненадежные сертификаты, что может привести к сбоям.

Клиенты, использующие Cloudflare Containers, включая Sandboxes, должны проверить свои образы контейнеров и зависимости приложений на наличие затронутых хранилищ доверенных сертификатов и применить обновления на основе развернутого образа.

Клиенты также могут включить перехват исходящего HTTPS-трафика, чтобы направлять исходящие запросы HTTPS через Cloudflare, перенеся проверку сертификатов удаленного сервера из приложения в инфраструктуру под управлением Cloudflare. Это позволяет защитить перехваченные соединения с помощью механизмов защиты хранилищ доверенных сертификатов Cloudflare. Контейнеры с включенной этой функцией уже защищены.

Рекомендации для разработчиков

Для разработчиков: загляните за пределы SDK.

Клиент API может делегировать проверку сертификатов HTTP-библиотеке, среде выполнения языка, операционной системе или пользовательской конфигурации доверия. Обновление только SDK может не изменить базовую политику.

После установки патча вы можете заметить ошибки сертификатов в своих панелях управления. Важно не устранять эти ошибки путем отключения проверки. Это приведет к снятию защиты аутентификации, которую эти обновления призваны восстановить.

Этот инцидент затрагивает многие программные стеки, которые полагаются на WebPKI для аутентификации. Деннис Джексон (Dennis Jackson) из Mozilla собрал список часто используемых пакетов, для которых были выпущены исправления. Мы советуем читателям выполнить обновление как можно скорее. (Обратите внимание, что некоторые из них могут быть косвенными зависимостями вашего программного стека, поэтому изучите дерево зависимостей.) Примените соответствующие обновления зависимостей, пересоберите затронутые образы и подтвердите, требуют ли приложения перезагрузки, перезапуска или повторного развертывания.

Тестовый сайт Денниса Джексона предоставляет средства проверки браузера, инструкции по тестированию без использования браузера и информацию об обновлениях пакетов. Результаты относятся к проверяемому пути проверки, а не к каждому приложению на устройстве. Выполняйте проверку по фактическому пути TLS приложения. Успешный тест в браузере не доказывает, что фоновый сервис защищен. Тест с помощью curl также этого не доказывает, если приложение использует другой верификатор.

Хронология

Хронология событий на данный момент приведена ниже.

Дата и время

Событие

19 октября, примерно 17:00 UTC

Cloudflare узнает о компрометации и начинает оценку.

20 октября, 02:00 UTC

Обновления безопасности Cloudflare One Client и приложения WARP опубликованы на всех платформах (за исключением агента Cloudflare One Agent для iOS, проверка которого в App Store еще продолжается).

20 октября, 09:15 UTC

Опубликовано обновление безопасности для Cloudflare Tunnel (cloudflared).

20 октября, 19:20 UTC

Средства защиты CDN и серверной части Zero Trust полностью развернуты.

Взгляд в будущее

Последствия этого инцидента ощущаются по-разному. Разработчики браузеров смогли устранить проблему одним щелчком переключателя. У них, конечно, есть только одно приложение для обновления вместо сотен, но у них также есть отличный трюк в запасе: большинство браузеров используют механизмы быстрого отзыва (например, Chrome CRLSets). В Cloudflare мы также используем такой механизм для некоторых наших продуктов. Чтобы внедрить его в большее количество систем в Cloudflare и в масштабах всей индустрии, мы воодушевлены такими проектами, как upki, которые понимают, что хранилище доверенных сертификатов не может быть статическим списком корневых центров сертификации, а должно обладать способностью быстро обновляться с помощью такой информации, как ключи отзыва и прозрачности сертификатов.