یک مرجع صدور گواهی (Certificate Authority) در هند، شرکت eMudhra، پس از کشف یک نقص امنیتی بسیار شدید، هشت گواهی واسط (Intermediate Certificates) خود را باطل کرد. محققان دریافتند که کلیدهای رمزنگاری خصوصی (Private Keys) استفاده شده در این گواهی‌ها تنها یک بایت طول دارند که این موضوع، بازیابی آن‌ها توسط هکرها و صدور گواهی‌های جعلی را بسیار آسان می‌کند.
جزئیات فنی و ریسک‌های امنیتی
طبق گزارش‌ها، این مشکل ناشی از یک اسکریپت اشتباه در آوریل ۲۰۲۵ بوده است. کلیدهای رمزنگاری که باید بر پایه الگوریتم منحنی بیضوی (Elliptic Curve Cryptography) و با طول ۴۸ بایت باشند، تنها با مقادیر بسیار محدود بین ۰ تا ۲۵۵ (یک بایت) تولید شده‌اند. این ضعف به مهاجمان اجازه می‌دهد تا با جعل هویت سرورها، ترافیک شبکه را شنود (Intercept) یا تغییر دهند.
این نقص امنیتی بر پروتکل TLS و همچنین گواهی‌های امضای کد (Code Signing) تأثیر گذاشته و توسط ذخیره‌سازهای اصلی (Root Stores) از جمله Chrome، Mozilla، Microsoft و Apple مورد اعتماد بوده است. با این حال، برخلاف مرورگرها که به‌طور خودکار لیست‌های ابطال گواهی (Revocation Lists) را بررسی می‌کنند، بسیاری از اپلیکیشن‌ها و کتابخانه‌های اعتبارسنجی ریشه (Root Validation Libraries) نیاز به به‌روزرسانی دستی دارند.
تأثیر بر اکوسیستم‌های نرم‌افزاری و زبان‌های برنامه‌نویسی
این حادثه باعث ایجاد یک زنجیره از به‌روزرسانی‌های ضروری در زیرساخت‌های نرم‌افزاری شده است:
- زبان Go: این زبان با ردیابی نقص تحت شناسه CVE-2026-111943، کاربران را به به‌روزرسانی فوری توصیه کرده است.
- Python و Rust: توسعه‌دهندگان این دو زبان نیز نسخه‌های جدیدی برای حذف گواهی‌های آسیب‌پذیر منتشر کرده‌اند.
- سیستم‌عامل‌ها: توزیع‌های RedHat و Ubuntu وصله‌های امنیتی (Patches) خود را منتشر کرده‌اند.
- Java: وضعیت انتشار وصله امنیتی برای این زبان در حال بررسی است.
شرکت eMudhra تخمین می‌زند که حدود ۳۰,۰۰۰ گواهی باید به یک زنجیره اعتماد (Trust Chain) جایگزین منتقل شوند. این حادثه نشان‌دهنده اهمیت حیاتی بازرسی‌های امنیتی (Security Audits) در مراکز صدور گواهی و ریسک‌های ناشی از اتکا به زنجیره‌های اعتماد خارجی است.
به‌روزرسانی (اکتبر 22, 2026 — Malware News)
به‌روزرسانی: شرکت Sonatype اعلام کرد که برخی از محصولات و توزیع‌های این شرکت نیز تحت تأثیر حادثه مراجع صدور گواهی (Certificate Authority) شرکت eMudhra قرار گرفته‌اند. این آسیب‌پذیری از طریق ذخیره‌سازهای اعتماد گواهی (Certificate Trust Stores) در این محصولات منتقل می‌شود.
در حال حاضر، این شرکت در حال به‌روزرسانی اجزای آسیب‌پذیر است. به مشتریان توصیه می‌شود برای دریافت راهنمایی‌های اختصاصی جهت رفع نقص (Remediation) و پیگیری آخرین وضعیت، به صفحه امنیتی مربوط به این حادثه در وب‌سایت Sonatype مراجعه کنند.
به‌روزرسانی (اکتبر 22, 2026 — The Register)
به‌روزرسانی: شرکت eMudhra در واکنش به گزارش‌ها، علت تولید کلیدهای بسیار ضعیف را نقص فنی در فرآیند «مراسم تولید کلید» (Key Generation Ceremony – KGC) اعلام کرد. طبق گفته این شرکت، در حین مرحله wrap/unwrap با استفاده از ماژول‌های امنیت سخت‌افزاری (HSM) با استاندارد FIPS 140-2 Level 3، یک نقص فنی باعث شد مجموعه‌ای از کلیدهای ضعیف در کنار کلیدهای اصلی و قدرتمند تولید شوند.
نکته حائز اهمیت این است که شرکت تأیید کرده است دقیقاً همان کلیدهای ضعیف در لیست‌های اعتماد مرورگرها (Browser Root Stores) منتشر شده‌اند. eMudhra مدعی شده که این زیرساخت‌ها پیش از این تحت حسابرسی‌های (Audit) مستقل بوده‌اند و در حال حاضر برای شناسایی علت ریشه‌ای (Root Cause) و همکاری با مشتریان جهت جایگزینی گواهی‌ها تلاش می‌کند.
