As chaves privadas de oito certificados intermediários da eMudhra, autoridade certificadora indiana que vende certificados com a marca emSign, estão comprometidas. Com uma delas, um atacante pode emitir um certificado válido para qualquer site (The Hacker News). Os navegadores já se protegeram, mas Java, Go, Node.js, Python e distribuições Linux precisaram de correções de emergência, e muitas delas dependem de você atualizar
O que aconteceu
As chaves nem precisaram ser roubadas. Elas foram geradas com tão pouca aleatoriedade que qualquer pessoa consegue calculá-las a partir dos certificados públicos. O pesquisador Scott Helme recuperou as oito em menos de um segundo no notebook, e uma delas é simplesmente o número 4. As chaves já foram publicadas
Segundo a eMudhra, uma falha na cerimônia de geração de chaves de 30 de abril de 2025 criou um segundo conjunto de chaves fracas, e foi esse conjunto que acabou publicado nas listas de confiança dos navegadore. Um pesquisador avisou os navegadores em 17 de outubro. A eMudhra revogou os oito certificados, e as ações da empresa caíram 20% em 21 de outubro
Dos oito certificados, seis são para sites (TLS) e dois para assinatura de código
Por que é tão grave
Um certificado intermediário assina os certificados que os sites apresentam. Um atacante que consiga interceptar a conexão pode usar uma dessas chaves para se passar por qualquer servidor: seu banco, sua API, seu provedor de nuvem.
Chrome e Firefox bloquearam os certificados poucas horas depois do aviso, sem precisar de atualização. O risco está nos programas que não consultam listas de revogação: eles continuam confiando nesses certificados até que o código ou o pacote de certificados seja atualizado
Não se sabe se alguém explorou a falha desde a criação dos certificados. A eMudhra afirma que nenhum dos oito emitiu certificados para sites, e o CERT-In, órgão de resposta a incidentes da Índia, diz não haver uso malicioso confirmado até 21 de outubro .
Stacks afetadas e versões corrigidas
| Tecnologia | Corrigido em |
|---|---|
| Java (Oracle e OpenJDK) | Alerta CVE-2026-91403, CVSS 9.1 (veja abaixo) |
| Go | 1.27.3 e 1.26.10 (exige recompilar os binários) |
| Node.js | 26.12.1, 24.22.1 e 22.23.4 |
| Python (certifi) | 2026.10.19 |
| Rust (webpki-roots) | 1.0.10 |
| PHP (Composer ca-bundle) | 1.6.0 e 1.4.16 |
| Firefox | 158.0.1, ESR 115.43.1 e ESR 153.5.1 |
| Ubuntu | USN-8944-1 e USN-8944-2 |
| Debian | DSA-6572-1 |
| Red Hat Enterprise Linux | Sem pacote ainda; há medida paliativa |
| Cloudflare | cloudflared 2026.10.2 e novos clientes WARP/1.1.1.1 |
Fonte: The Hacker News
No Red Hat, o problema atinge também contêineres baseados em RHEL e UBI, OpenShift e OpenStack, que devem ser reconstruídos quando as imagens base forem atualizadas.
Recomendações de segurança
- Atualizar hoje o pacote
ca-certificatesdos servidores e das imagens de contêiner. - Atualizar Java, Node.js, Python certifi, Composer e as demais dependências da tabela, e recompilar os binários Go com a versão corrigida.
- No RHEL, aplicar a medida paliativa da Red Hat até o pacote sair
- Verificar se algum site ou API seu usa certificado emSign e trocar antes de 27 de outubro.
- No macOS, não confiar no
curldo sistema para validar essas cadeias: ele ainda aceita os certificados, porque usa um pacote que a Apple não atualizou
