eMudhra'nın sekiz ara CA anahtarı ele geçirildi, tarayıcılar ve Go acil güncelleme yayımladı

Hindistan merkezli sertifika otoritesi eMudhra'ya ait sekiz ara sertifika otoritesi (CA) sertifikasının özel anahtarlarının ele geçirildiği, Mozilla ve Google'ın Chrome Root Program ekibi tarafından 20 Ekim'de doğrulandı. The Hacker News'ün aktardığına göre ara CA'lar web sitelerinin sunduğu sertifikaları imzaladığından, bu anahtarlara sahip biri teoride tarayıcıların kabul edeceği herhangi bir alan adı için sertifika üretebilirdi. Bu durum tarayıcılar, işletim sistemleri ve yazılım ekosistemlerinde hızlı bir engelleme ve acil güncelleme dalgasını başlattı.

Neler oldu?

The Hacker News'ün paylaştığı zaman çizelgesine göre Chrome Root Program, 17 Ekim'de 18.05'te (UTC) bir araştırmacıdan bildirim aldı. Chrome iki saat içinde altı TLS ara sertifikasını engelleyen bir CRLSet güncellemesi yayımladı; Mozilla da aynı akşam Firefox kurulumlarına OneCRL engellemesini dağıttı. Apple 19 Ekim'de, Microsoft ise Go'nun acil güvenlik sürümlerini çıkardığı 20 Ekim'de sertifikaları engelledi.

Yayına göre anahtarların eMudhra'dan nasıl ve ne zaman çıktığı, bildirimi yapan araştırmacı dışında kimsenin elinde olup olmadığı bilinmiyor. eMudhra 20 Ekim itibarıyla olayla ilgili kamuya açık bir duyuru yapmamıştı.

Teknik detaylar

eMudhra sertifikalarını emSign markasıyla satıyor. Etkilenen ara sertifikalar EM DV TLS CA - G3B/G3C, EM OV TLS CA - G3B/G3C, EM EV TLS CA - G3B/G3C ile kod imzalama için kullanılan EM OV CS CA - G3B/G3C. The Hacker News, her birinin Sectigo'nun AAA Certificate Services kökü tarafından çapraz imzalanmış bir kopyasının da bulunduğunu, ancak Chrome ve Firefox'un bu köke web siteleri için Nisan 2025'ten beri güvenmediğini belirtiyor.

Chrome, engellemeden önce altı ara sertifikaya zincirlenen hiçbir TLS sertifikasının Certificate Transparency kayıtlarına girmediğini, dolayısıyla CT şartı arayan tarayıcılarda varsayılan olarak güvenilir sayılamayacağını açıkladı. Şirket mağazasındaki diğer tüm CA'ları kontrol ettiğini ve benzer bir sorun bulmadığını da ekledi.

Go'nun 1.27.3 ve 1.26.10 sürümlerindeki düzeltme (CVE-2026-111943), sekiz anahtardan birini içeren her zinciri açık anahtar özetine göre reddediyor; çapraz imzalı kopyalar da buna dahil ve bu davranış kapatılamıyor. Habere göre Go'nun kriptografi paketlerinin bakımını yapan Filippo Valsorda, Linux kök depolarının iptal bilgisinin uygulamalara ulaşamayacak kadar kötü yönetildiğini, bu nedenle anahtarları koda gömmenin şimdilik tek seçenek olduğunu söyledi.

Kimler etkileniyor?

Tarayıcı kullanıcılarının genellikle bir şey yapmasına gerek yok; iptal verileri otomatik olarak ulaşıyor. Remote Settings özelliği politika ile kapatılmış veya ağda engellenmiş Firefox kurulumları için Firefox 158.0.1, ESR 115.43.1 ve ESR 153.5.1 (CVE-2026-113470) yayımlandı. Asıl risk iptal denetimi yapmayan yazılımlarda: Go programları ve Python'un certifi paketi gibi kök sertifika demetlerine dayanan araçlar, kodları veya demetleri güncellenene kadar bu zincirlere güvenmeye devam ediyor. The Hacker News'e göre NSS 3.131.1, certifi 2026.10.19 ve Rust webpki-roots 1.0.10 düzeltmeleri yayımlandı; Node.js ve Composer tarafındaki değişiklikler ise henüz bekliyordu. Chrome, emSign ECC Root CA - G3 kökünü kök deposundan çıkarmayı planlıyor.

Ne yapmalı?

• Go ile yazılmış servis ve araçları Go 1.27.3 veya 1.26.10 ile yeniden derleyin; 1.25 ve öncesi düzeltme almayacak.
• certifi, webpki-roots, NSS ve uygulamalara gömülü diğer kök sertifika demetlerini güncelleyin.
• Remote Settings kapalı Firefox kurulumlarında 20 Ekim sürümlerini dağıtın.
• emSign sertifikası kullanan site yöneticileri, güncellenen istemciler engellenen anahtarları reddedeceği için başka ara sertifikalardan zincire geçişe hazırlanmalı.