2026年10月20日，八个 eMudhra 中间 CA 证书的私钥已被泄露。它们信任的根证书受 Mozilla、Microsoft、Apple 和 Chrome 根程序以及许多下游信任存储的信任。我们是如何得知的？为了证明密钥已被泄露，原报告者 Wayne 使用这八个中间 CA 的私钥签署了以下消息，并于10月17日报告给根程序团队：我们在这里遇到了一个问题 - Wayne proof.zip 中包含该消息，以及每个中间 CA 的证书、其公钥和对该消息的签名。使用 OpenSSL 验证：openssl x509 -in EM-DV-TLS-CA-G3B.crt.pem -noout -pubkey | diff - EM-DV-TLS-CA-G3B.pub.pem openssl dgst -sha384 -verify EM-DV-TLS-CA-G3B.pub.pem -signature EM-DV-TLS-CA-G3B.sig message.txt 已采取了哪些措施？根程序和许多下游信任存储已采取行动以保护其用户。这些证书自10月17日起在 Firefox 和 Chrome 中被阻止，从10月19日起在 Apple 设备中被阻止，并从10月20日起在 Microsoft 中被阻止。该问题已于10月19日负责任地披露给下游信任存储。许多存储已经发布更新或正在发布更新的过程中。后果是什么？任何拥有泄露的中间 CA 私钥的攻击者都可以冒充任何网站或服务。Mozilla、Microsoft、Apple 和 Chrome 已通过他们分发撤销信息的工具（例如 OneCRL、CRLite 和 CRLSets）为他们的用户修复了这个问题。该 CA 也已撤回了被泄露的中间证书。然而，许多其他客户端并不消费撤销信息，需要软件更新以确保它们不再信任被泄露的中间证书。您的客户端是否仍然信任被泄露的中间证书？中间 CA 链接结果 用户可以采取哪些措施？用户应尽快将其浏览器和操作系统更新到最新版本。开发者软件和包怎么办？软件修补版本 Go 1.27.3，1.26.10 Electron 44.9.1，43.8.1，42.11.16 Python certifi 2026.10.19 Rust webpki-roots / webpki-root-certs 1.0.10 Homebrew ca-certificates 2026-09-25_1 Node.js 待定 Composer ca-bundle 待定 NSS 3.131.1 在 github.com/galadran/we-have-a-problem.com 添加更多。Linux 有解决方法吗？在某个发行版发布更新的 ca-certificates 软件包之前，专业用户可以在系统信任存储中不信任受影响的根证书。这不推荐普通用户使用。在 Debian 和 Ubuntu 中，以 root 身份运行：sed -i \ -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \ -e 's|^mozilla/Comodo_AAA_Services_root.crt|!&|' \ /etc/ca-certificates.conf && update-ca-certificates 在 Alpine 中，以 root 身份运行：apk add ca-certificates && sed -i -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \ /etc/ca-certificates.conf && update-ca-certificates 在 Fedora、RHEL、CentOS Stream、Rocky Linux、AlmaLinux 和 Amazon Linux 2023 中，以 root 身份运行：d=/etc/pki/ca-trust/source/blocklist; [ -d $d ] || d=/etc/pki/ca-trust/source/blacklist trust extract --overwrite --format=pem-bundle \ --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \ $d/Comodo_AAA_Services_root.pem && trust extract --overwrite --format=pem-bundle \ --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \ $d/emSign_ECC_Root_CA_-_G3.pem && update-ca-trust 在 openSUSE 和 SLES 中，以 root 身份运行：d=/etc/pki/trust/blocklist; [ -d $d ] || d=/etc/pki/trust/blacklist trust extract --format=pem-bundle \ --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \ $d/Comodo_AAA_Services_root.pem && trust extract --format=pem-bundle \ --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \ $d/emSign_ECC_Root_CA_-_G3.pem && update-ca-certificates 在 Arch Linux 上，以 root 身份运行：trust extract --format=pem-bundle \ --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \ /etc/ca-certificates/trust-source/blocklist/emSign_ECC_Root_CA_-_G3.pem && update-ca-trust 信任存储运营商可以采取哪些措施？请查看 Mozilla 的 dev-security-policy 论坛中的此线程。哪些中间证书被泄露？包括 Sectigo 交叉签名的八个中间证书的指纹、SPKI 哈希、序列号和 CCADB 记录 ID 包含在 affected-certificates.json 中。该网站由 Dennis Jackson 发布。源代码在 GitHub 上，欢迎 PR。