8 eMudhra certificates are compromised. Here's what you need to know

8个eMudhra证书遭泄露，你需要了解的信息 | Cloudflare博客

post

密码学

安全

2026年10月20日

8个eMudhra证书遭泄露，你需要了解的信息

Christopher Patton ,  Bas Westerbaan ,  Trishna ,  and Jeremy Hartman

4分钟阅读时间

复制链接

2026年10月19日协调世界时17:00左右，Cloudflare发现与8个eMudhra中级证书相关联的私钥已被泄露。这些证书被浏览器、操作系统以及Cloudflare本身广泛信任。由于密钥本身存在弱点，攻击者可以为任何域名创建伪造证书，并利用它伪装服务器以拦截或篡改流量。这是一起严重的安全事件，对互联网多个层面都产生影响。作为参考，这里有一篇关于SSL证书工作原理及其为何对互联网运营至关重要的信息链接。

在漏洞公开之前，我们立即优先处理Cloudflare关键服务的补丁更新，以保护客户。我们的安全审查尚未发现Cloudflare服务上存在该问题的主动利用行为。

我们已为Cloudflare One客户端（也称为WARP或1.1.1.1应用）和Cloudflare Tunnel（也称为cloudflared）发布了更新。同时，我们在CDN、开发者产品和零信任产品中部署了缓解措施。如果你正在使用带有网关且客户端已更新的Cloudflare零信任（见下文），你将自动获得保护。

我们的应对措施

我们优先更新使用公共证书对远程端点进行身份验证的服务，包括连接到源站的代理以及调用外部API的应用程序。同时，我们更新了共享信任库、基础镜像和其他共享基础架构，为从这些来源继承证书信任的服务提供通用缓解方案。这些更新配合了必要的重新加载、重启和镜像部署以激活补丁。使用捆绑或自定义信任库的应用程序则进行了单独评估和更新。这项工作针对的是基于证书的认证问题，而非TLS加密算法本身的弱点。

Cloudflare各团队目前正在推进进一步的修复工作。我们已取得进展，但仍有许多工作待完成。部分客户需要对其运行的软件或信任配置进行操作，特别是源站服务器上的配置。建议的操作总结如下。

客户应采取的行动

软件或服务用户

客户应采取的行动

Cloudflare One/WARP

Cloudflare One客户端：升级至：v2.5.6（安卓）、v1.12.16（iOS）、Windows桌面版（2026.8.2115.0）、macOS（2026.8.2115.0）、Linux（2026.8.2115.0）

1.1.1.1应用：升级至：v6.38.10（安卓）、v6.31.7（iOS）、Windows桌面版（2026.8.2115.0）、macOS（2026.8.2115.0）、Linux（2026.8.2115.0）

Cloudflare Tunnel（cloudflared）

升级至2026.10.2版本。对于容器部署，请更新并重新部署修复后的镜像

客户配置的TLS客户端认证

检查并更新用于验证客户端证书的相互TLS信任库/上传的CA

客户源站TLS服务器配置

如果你使用全（严格）加密模式或严格模式，请检查自定义源站证书和服务器配置

我们正在更新

自动SSL/TLS

 以在您仍使用这些不受信任的证书时自动通知您，这可能会导致功能中断。

Cloudflare 容器

使用 Cloudflare 容器（包括沙箱）的客户应检查其容器镜像和应用程序依赖项中受影响的证书信任库，并根据部署的镜像应用更新。

客户还可以启用 HTTPS 出站拦截 Â 以将出站 HTTPS 请求通过 Cloudflare 路由，将远程服务器证书验证从应用程序转移到 Cloudflare 管理的基础设施。这使 Cloudflare 的信任库缓解措施能够保护被拦截的连接。已启用此功能的容器已受到保护。

开发者指南

对于开发者，请查看 SDK 之下。

API 客户端可能会将证书验证委托给 HTTP 库、语言运行时、操作系统或自定义信任配置。仅更新 SDK 可能不会改变底层策略。

一旦您进行补丁修复，可能会在仪表板中看到证书错误。重要的是不要通过禁用验证来解决这些错误。这将删除这些更新旨在恢复的身份验证保护。

此次事件影响了许多依赖 WebPKI 进行身份验证的软件堆栈。Mozilla 的 Dennis Jackson 已收集了一份常见使用包 Â 的列表，这些包已进行了修复。我们建议读者尽快升级。（请注意，其中一些可能是您软件堆栈的间接依赖项，因此请查看依赖树。）应用相关依赖项更新，重新构建受影响的镜像，并确认应用程序是否需要重新加载、重启或重新部署。

Dennis Jackson 的测试网站 Â 提供了浏览器检查、非浏览器测试说明和包更新信息。结果适用于正在测试的验证路径，而不是设备上的每个应用程序。通过应用程序的实际 TLS 路径进行验证。成功的浏览器测试并不能证明后台服务受到保护。如果应用程序使用不同的验证器，curl 测试也是如此。

时间线

到目前为止的事件时间线如下。

日期和时间

事件

10 月 19 日，约 UTC 时间 17:00

Cloudflare 意识到妥协并开始评估。

10 月 20 日，UTC 时间 02:00

Cloudflare One 客户端和 WARP 应用的安全更新在所有平台发布（除 iOS 上的 Cloudflare One Agent，其应用审核仍在进行中）。

10 月 20 日，UTC 时间 09:15

Cloudflare 隧道（cloudflared）安全更新发布。

10 月 20 日，UTC 时间 19:20

CDN 和服务器端零信任缓解措施全面部署。

未来展望

此次事件的影响并不均等。浏览器维护者能够通过切换开关来解决此问题。当然，他们只需要更新一个应用程序，而不是数百个，但他们确实有一个巧妙的技巧：大多数浏览器使用快速吊销机制（如 Chrome CRLSets）。在 Cloudflare，我们也为某些产品使用了类似的机制。为了在 Cloudflare 和行业更多系统中推广此机制，我们对 upki  等项目感到兴奋，这些项目理解信任库不能是静态的根证书颁发机构列表，而是需要能够快速更新吊销信息和证书透明密钥等信息。

目录列

讨论列

相关标签和社交媒体链接

相关标签

关注社交媒体

• Cloudflare

• Bas Westerbaan

EMAIL SIGNUP