Скомпрометированы 8 сертификатов eMudhra. Вот что нужно знать
- 19 октября 2026 года около 17:00 UTC Cloudflare узнала о компрометации закрытых ключей восьми промежуточных сертификатов eMudhra.
- Cloudflare не обнаружила активной эксплуатации в своих сервисах; компания выпустила обновления для WARP и cloudflared и внедрила защиту CDN и Zero Trust.
- Клиентам рекомендовано обновить WARP и cloudflared до указанных версий, а также проверить пользовательские хранилища сертификатов и TLS-настройки серверов-источников.
Почему это важно: Слабые ключи позволяют создавать поддельные сертификаты для любых доменов, выдавать себя за серверы и перехватывать или изменять трафик.
19 октября 2026 года примерно в 17:00 UTC Cloudflare узнала о компрометации закрытых ключей, связанных с восемью промежуточными сертификатами eMudhra. Эти сертификаты широко использовались браузерами и операционными системами, а также считались доверенными в Cloudflare. Из-за слабости самих ключей злоумышленник может создать поддельный сертификат для любого домена и использовать его, чтобы выдавать себя за сервер и перехватывать или изменять трафик. Это серьёзный инцидент безопасности, последствия которого затрагивают весь Интернет. Для справки: вот ссылка на дополнительную информацию о работе SSL-сертификатов и о том, почему они так важны для функционирования Интернета.
Мы незамедлительно приступили к обновлению критически важных сервисов Cloudflare, чтобы защитить наших клиентов до публичного раскрытия информации об уязвимости. В ходе проверки безопасности мы не обнаружили активной эксплуатации этой проблемы в сервисах Cloudflare.
Мы выпустили обновления для клиентов Cloudflare One, также известных как WARP или приложение 1.1.1.1, и Cloudflare Tunnel, также известного как cloudflared. Кроме того, мы внедрили меры защиты в продуктах CDN, Developer и Zero Trust. Если вы используете Cloudflare Zero Trust с Gateway и актуальной версией клиента (см. ниже), ваша система защищена автоматически.
Наши действия
В первую очередь мы обновили сервисы, использующие общедоступные сертификаты для аутентификации удалённых конечных узлов, включая прокси-серверы, подключающиеся к серверам-источникам, и приложения, обращающиеся к внешним API. Параллельно мы обновили общие хранилища доверенных сертификатов, базовые образы и другие общие компоненты, обеспечив единый путь устранения проблемы для сервисов, которые наследуют доверие к сертификатам от этих источников. Чтобы изменения вступили в силу, мы также перезагрузили и перезапустили службы и развернули новые образы. Приложения со встроенными или пользовательскими хранилищами доверенных сертификатов прошли отдельную проверку и получили отдельные обновления. Эти меры устраняют проблему аутентификации на основе сертификатов, а не уязвимость в алгоритмах шифрования TLS.
Команды Cloudflare продолжают работу над устранением последствий. Мы добились прогресса, но впереди ещё много работы. Некоторым клиентам потребуется принять меры в отношении программного обеспечения или настроек доверия, которыми они управляют, особенно на своих серверах-источниках. Рекомендуемые действия перечислены ниже.
Что следует сделать клиентам
| Пользователи этого программного обеспечения или сервисов | Что следует сделать клиенту |
| Cloudflare One/WARP | Клиент Cloudflare One: обновите до версии v2.5.6 (Android), v1.12.16 (iOS), Windows Desktop (2026.8.2115.0), macOS (2026.8.2115.0), Linux (2026.8.2115.0) Приложение 1.1.1.1: обновите до версии v6.38.10 (Android), v6.31.7 (iOS), Windows Desktop (2026.8.2115.0), macOS (2026.8.2115.0), Linux (2026.8.2115.0) |
| Cloudflare Tunnel (cloudflared) | Обновите до версии 2026.10.2. Если вы используете контейнеры, обновите и повторно разверните исправленный образ |
| Настроенная клиентом аутентификация TLS | Проверьте и обновите хранилище доверенных сертификатов взаимного TLS или загруженные центры сертификации, используемые для проверки сертификатов клиентов |
| Настройки TLS на серверах-источниках клиента | Проверьте пользовательские сертификаты серверов-источников и конфигурации серверов, если вы используете режим шифрования Full (strict) или режим Strict. Мы обновляем функцию Automatic SSL/TLS, чтобы она автоматически уведомляла вас, если вы всё ещё используете эти сертификаты, утратившие доверие, что может привести к сбоям. |
| Cloudflare Containers | Клиентам, использующим Cloudflare Containers, включая Sandboxes, следует проверить образы контейнеров и зависимости приложений на наличие затронутых хранилищ доверенных сертификатов и установить обновления с учётом развернутого образа. Клиенты также могут включить перехват исходящего HTTPS-трафика, чтобы направлять исходящие HTTPS-запросы через Cloudflare и перенести проверку сертификатов удалённых серверов из приложения в инфраструктуру под управлением Cloudflare. Это позволяет мерам защиты хранилищ доверенных сертификатов Cloudflare защищать перехваченные соединения. Контейнеры, в которых эта функция включена, уже защищены. |
Рекомендации для разработчиков
Разработчикам стоит заглянуть глубже SDK.
API-клиент может делегировать проверку сертификатов HTTP-библиотеке, среде выполнения языка программирования, операционной системе или пользовательской конфигурации доверия. Одного обновления SDK может быть недостаточно, чтобы изменить базовую политику.
После установки исправлений на панелях мониторинга могут появиться ошибки сертификатов. Важно не устранять эти ошибки, отключая проверку. Это лишит вас защиты аутентификации, которую призваны восстановить обновления.
Этот инцидент затрагивает множество программных стеков, использующих WebPKI для аутентификации. Деннис Джексон из Mozilla собрал с помощью сообщества список часто используемых пакетов, для которых выпущены исправления. Мы рекомендуем читателям как можно скорее установить обновления. (Обратите внимание: некоторые из этих пакетов могут быть транзитивными зависимостями вашего программного стека, поэтому проверьте дерево зависимостей.) Установите соответствующие обновления зависимостей, пересоберите затронутые образы и выясните, требуется ли приложениям перезагрузка, перезапуск или повторное развертывание.
На тестовом сайте Денниса Джексона доступны проверки браузера, инструкции по тестированию вне браузера и сведения об обновлениях пакетов. Результаты относятся к проверяемому пути верификации, а не ко всем приложениям на устройстве. Выполните проверку через фактический путь TLS, используемый приложением. Успешная проверка в браузере не доказывает, что фоновая служба защищена. То же относится и к проверке с помощью curl, если приложение использует другой механизм верификации.
Хронология событий
Ниже приведена хронология событий на данный момент.
Дата и время | Событие |
19 октября, примерно 17:00 UTC | Cloudflare узнаёт о компрометации и начинает оценку ситуации. |
20 октября, 02:00 UTC | Опубликованы обновления безопасности Cloudflare One Client и приложения WARP для всех платформ, кроме Cloudflare One Agent на iOS: его проверка в магазине приложений ещё не завершена. |
20 октября, 09:15 UTC | Опубликовано обновление безопасности Cloudflare Tunnel (cloudflared). |
20 октября, 19:20 UTC | Полностью развернуты меры защиты CDN и серверной части Zero Trust. |
Что дальше
Последствия этого инцидента затронули не всех в равной степени. Разработчики браузеров смогли устранить проблему одним переключением. Конечно, им нужно обновить всего лишь одно приложение, а не сотни, но у них есть полезный приём: большинство браузеров используют механизмы быстрого отзыва сертификатов (например, Chrome CRLSets). В Cloudflare мы тоже применяем такой механизм в некоторых продуктах. Чтобы распространить его на большее число систем в Cloudflare и во всей отрасли, мы с энтузиазмом следим за такими проектами, как upki, которые исходят из того, что хранилище доверенных сертификатов не может быть статичным списком корневых центров сертификации: его необходимо оперативно обновлять, добавляя сведения об отзыве сертификатов и ключи Certificate Transparency.
