多家科技公司已对 8 张存在风险的数字证书启动紧急封禁。这些证书由印度证书颁发机构 eMudhra Limited 签发，问题在于其私钥生成过程存在缺陷，导致任何人都可能猜出私钥，并为任意网站伪造 HTTPS 证书。
Mozilla 确认私钥可被独立恢复
Mozilla 加密工程师 Dennis Jackson 在一份事件报告中写道，Mozilla 在上周六首次收到漏洞通报后，独立恢复了相关私钥，并确认密钥生成流程「存在缺陷」且「很容易被利用」。
Mozilla 表示，如果攻击者能够拦截用户连接，就可以利用伪造证书冒充合法网站，并可能读取或篡改双方交换的信息。
Firefox、Chrome、Apple、Microsoft 与 Cloudflare 已部署应对措施
到周二时，浏览器开发商和其他大型科技公司已经对这 8 张中间证书部署保护措施。
Mozilla Firefox 安全团队周二在博客中表示，团队于上周六收到报告，并在当天通过 OneCRL 在 Firefox 中封禁了受影响证书。随后，Mozilla 又为桌面版和 Android 版浏览器发布更新，以保护那些因自定义设置而无法接收 OneCRL 更新的用户。
Cloudflare 表示，公司在周一获悉该报告，并于周二为 Cloudflare One、WARP Clients 和 Cloudflare Tunnel 发布更新，同时在其各项服务中部署缓解措施。
Jackson 还表示，这些证书自上周六起已在 Chrome 中被封禁，自周一起在 Apple 设备上被封禁，并自周二起在 Microsoft 平台上被封禁。
他写道：「该问题已于 10 月 19 日以负责任披露方式通知下游信任存储。许多相关方已经发布更新，或正在发布更新。」
浏览器暂未发现被利用证据，其他客户端情况未知
Jackson 表示，目前没有证据显示 Firefox、Chrome、Edge 和 Safari 曾遭遇这种方式的攻击，因为自 2025 年 4 月以来，证书透明度日志中没有出现这些中间证书的记录。
不过他也指出：「浏览器生态之外的许多客户端并不执行证书透明度。我们不知道攻击者是否利用有缺陷的密钥生成过程来针对这些客户端。」
尽管许多公司已迅速封禁相关证书，但对那些不会自动接收这些封禁措施的应用和系统来说，风险仍然存在。
事件让人想起 2011 年 DigiNotar 遭入侵
这起事件让人联想到 2011 年 DigiNotar 遭攻破的案例。当时，黑客入侵这家荷兰证书颁发机构，并签发了 531 张伪造的 SSL 证书。
这些恶意证书让威胁行为者得以冒充 Google，并监视大约 300,000 个伊朗 Gmail 账户。