هشت کلید خصوصی مربوط به مراجع صدور گواهینامه میانی (Intermediate CA) در شرکت هندی eMudhra Limited به دلیل یک نقص رمزنگاری (Cryptographic defect) بحرانی در فرآیند تولید گواهینامه، افشا شده است. این کلیدهای خصوصی با تصادفی‌سازی (Randomness) ناکافی تولید شده بودند که به مهاجمان بالقوه اجازه می‌داد کلیدهای خصوصی را مستقیماً از روی گواهینامه‌های عمومی استخراج کنند.
پیامدهای فنی نقص رمزنگاری
این ضعف در پیاده‌سازی رمزنگاری به شخص ثالث اجازه می‌دهد تا با تحلیل گواهینامه‌های عمومی، کلیدهای خصوصی متناظر را به دست آورند. در نتیجه، اعتبار زنجیره اعتماد (Chain of Trust) در زیرساخت کلید عمومی (PKI) این شرکت به طور کامل مخدوش شده است.
اقدامات اصلاحی و واکنش‌ها
- تولیدکنندگان اصلی مرورگرها و سیستم‌عامل‌ها (OS) برای جلوگیری از سوءاستفاده، اقدام به ابطال (Revoke) یا عدم اعتماد (Untrust) به این Intermediate CAها کرده‌اند.
- شرکت eMudhra هر هشت گواهینامه مذکور را رسماً ابطال کرده است.
به مدیران امنیت و تیم‌های SOC توصیه می‌شود وضعیت گواهینامه‌های مورد استفاده در زیرساخت‌های خود را بررسی کرده و در صورت شناسایی گواهینامه‌های صادر شده توسط این مراجع، سریعاً نسبت به جایگزینی آن‌ها اقدام کنند تا از حملات احتمالی Man-in-the-Middle (MitM) جلوگیری شود.
به‌روزرسانی (اکتبر 22, 2026 — therecord.media)
به‌روزرسانی: شرکت eMudhra اعلام کرد که به دلیل حوادث امنیتی اخیر، از کسب‌وکار جهانی گواهینامه‌های SSL/TLS خارج خواهد شد. این تصمیم پس از آن اتخاذ شد که مشخص گردید برخی از کلیدهای خصوصی (Private Keys) مربوط به هشت گواهینامه Intermediate CA به دلیل نقص در فرآیند تولید (Certificate Ceremony)، به شدت ضعیف هستند؛ به طوری که برخی از این کلید‌ها تنها شامل اعداد بسیار ساده‌ای مانند ‘4’، ’56’ و ‘115’ بودند.
این نقص امنیتی که به مدت ۱۸ ماه بدون شناسایی باقی مانده بود، حتی از دو حسابرسی (Audit) مستقل نیز عبور کرده است. در حال حاضر، وزارت الکترونیک و فناوری اطلاعات هند در حال بررسی این حادثه است. کارشناسان هشدار می‌دهند که این موضوع فراتر از یک ابطال ساده گواهینامه است و یک چالش جدی در زنجیره تأمین (Supply Chain) محسcha محسوب می‌شود؛ زیرا بسیاری از محصولات و دستگاه‌های قدیمی که مخازن اعتماد (Trust Stores) خود را به‌روزرسانی نمی‌کنند، ممکن است تا سال ۲۰۴۰ همچنان به این زنجیره‌های آسیب‌پذیر اعتماد داشته باشند.
به‌روزرسانی (اکتبر 23, 2026 — GBHackers)
به‌روزرسانی: اوراکل هشدار امنیتی جدیدی برای آسیب‌پذیری بحرانی CVE-2026-91403 منتشر کرده است که Oracle Java SE و GraalVM را تحت تأثیر قرار می‌دهد. این نقص با امتیاز CVSS 3.1 معادل 9.1، به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، حملات از راه دور (Remote Attacks) را انجام دهند.
این آسیب‌پذیری مستقیماً مؤلفه Java Secure Socket Extension (JSSE) را هدف قرار می‌دهد. با توجه به اینکه این نقص در سطح شبکه (Network Attack Vector) قابل بهره‌برداری است و پیچیدگی حمله (Attack Complexity) در آن پایین است، ریسک بالایی برای سازمان‌ها دارد. اکسپلویت موفق می‌تواند محرمانگی (Confidentiality) و یکپارچگی (Integrity) داده‌ها را به شدت مختل کند.
برای مقابله با این تهدید، اوراکل دو راهکار اصلی ارائه کرده است:
- مسدودسازی دستی گواهینامه‌ها: جایگزینی فایل
lib/security/blocked.certsبا نسخه ارائه شده توسط اوراکل (در Java 8 باید از نامblacklisted.certsاستفاده شود). - فعال‌سازی بررسی ابطال (Revocation Checking): برای برنامه‌های مبتنی بر TLS و اعتبارسنجی فایل‌های JAR امضا شده، استفاده از دستور
jarsigner -verify -revcheck -strict [SIGNED_JAR]توصیه می‌شود.
