CA keys të komprometuara detyrojnë korrigjime në shfletues dhe trust store
CA keys të komprometuara, që u përkisnin tetë intermediate certificate authority të eMudhra, nxitën bllokime emergjente në shfletues dhe korrigjime në software Go, Firefox, NSS, Python dhe Rust. Mozilla dhe Chrome Root Program e konfirmuan komprometimin më 20 tetor, pasi një studiues dëshmoi se zotëronte të tetë private key. Një private key është materiali sekret që përdoret për të miratuar certifikata dixhitale, ndërsa një intermediate certificate authority (CA) lëshon certifikatat që faqet e internetit ua paraqesin vizitorëve. Prandaj, kontrolli i një key të tillë mund t’i lejonte dikujt të lëshonte një certifikatë për çfarëdo faqeje interneti, të cilën software i prekur mund ta pranonte.
Studiuesi e raportoi problemin në mbrëmjen e 17 tetorit dhe dëshmoi kontrollin duke nënshkruar të njëjtin mesazh me secilën prej tetë key. Chrome e mori raportin në orën 18:05 UTC, verifikoi gjetjet dhe vendosi një bllokim CRLSet në orën 19:45 UTC. CRLSet është lista e certifikatave e shpërndarë nga distanca nga Chrome, të cilave nuk duhet t’u besohet më. Mozilla e mori raportin në orën 20:06 UTC dhe përfundoi një bllokim OneCRL për instalimet standarde të Firefox në orën 22:59 UTC. OneCRL kryen një rol të ngjashëm revocation në Firefox. Të dyja listat shkarkohen automatikisht, kështu që instalimet normale të shfletuesve nuk kërkonin rinisje ose përditësim të plotë të shfletuesit.
Gjashtë nga intermediate certificate authority të prekura synoheshin për Transport Layer Security (TLS), sistemi që autentikon faqet e internetit dhe enkripton lidhjet e shfletuesit. Ato ishin EM DV TLS CA - G3B, EM DV TLS CA - G3C, EM OV TLS CA - G3B, EM OV TLS CA - G3C, EM EV TLS CA - G3B dhe EM EV TLS CA - G3C. Dy të tjerat, EM OV CS CA - G3B dhe EM OV CS CA - G3C, ishin të kufizuara për code signing. Chrome nuk i bllokoi veçmas intermediate certificate authority për code signing, sepse website certificate verifier i tij nuk ndërton një TLS trust path përmes një intermediate certificate authority të kufizuar për code signing.
Gjashtë intermediate certificate authority për TLS ishin lëshuar nga emSign Root TLS CA - G3 dhe në fund lidheshin me emSign ECC Root CA - G3. Secila nga të tetat kishte gjithashtu një certifikatë të dytë që përdorte të njëjtën public key, cross-signed nën root AAA Certificate Services të Sectigo. Cross-signing i jep të njëjtës key një rrugë tjetër drejt një root të besuar. Përgjigjja e Chrome u bazua te public key dhe jo vetëm te certifikatat individuale, prandaj bllokimi i tij i përfshiu edhe ato kopje. Firefox dhe Chrome kishin ndaluar tashmë së besuari AAA Certificate Services për faqet e internetit në prill 2025, ndërsa lista e root e Apple për iOS 26 dhe macOS 26, e publikuar në dhjetor 2025, vazhdonte ta përfshinte atë.
Chrome Root Program nuk gjeti asnjë certifikatë TLS të lëshuar përmes gjashtë intermediate certificate authority për faqe interneti në log-et e Certificate Transparency (CT) përpara bllokimit të tij. CT është një regjistër publik i certifikatave të faqeve të internetit, ndërsa Chrome dhe shfletues të tjerë që kërkojnë regjistrimin zakonisht nuk do t’i besonin një certifikate të paregjistruar. Kjo kufizon provat e keqpërdorimit që mund të shihen përmes CT, por nuk përcakton nëse key janë përdorur diku tjetër. Mbetet e panjohur se si ose kur key dolën nga eMudhra, apo nëse i siguroi dikush tjetër përveç studiuesit që bëri raportimin. Nuk ka ndonjë metodë të disponueshme që identifikon keqpërdorim të mëparshëm përtej kërkimit të certifikatave të regjistruara në CT.
eMudhra i revokoi të tetë certifikatat. Apple i bllokoi ato më 19 tetor, Microsoft veproi më 20 tetor dhe trust store të tjera u njoftuan më 19 tetor, sipas një faqeje incidenti të publikuar nga një inxhinier i kriptografisë në Mozilla. Mozilla tha se aktualisht nuk besonte që CA të tjera ishin prekur. Chrome raportoi se kontrolloi çdo certifikatë tjetër CA në store e vet dhe nuk gjeti shembuj të tjerë të së njëjtës mënyrë dështimi.
Software që nuk merr në mënyrë të besueshme informacionin e revocation ka nevojë për përditësim të kodit ose të trust bundle. Go i trajtoi key në versionet 1.27.3 dhe 1.26.10, nën CVE-2026-111943. Filtri i standard library refuzon çdo chain që përmban një nga tetë key, përfshirë rastet kur Go përdor system verifier të macOS ose Windows, dhe nuk mund të çaktivizohet përmes një cilësimi. Programet ekzistuese duhet të rindërtohen me një version të korrigjuar të Go. Go 1.25 dhe versionet më të vjetra nuk mbështeten dhe nuk e morën ndryshimin. Projekti Go përdori procesin e vet URGENT, megjithëse çështja dhe release notes nuk përcaktojnë nëse kjo pasqyronte shfrytëzim apo një kërcënim më të gjerë ndaj integritetit të ekosistemit. Një mirëmbajtës i Go tha se përfshirja e key të prekura drejtpërdrejt në kod ishte aktualisht e nevojshme, sepse revocation nuk arrin në mënyrë të besueshme tek aplikacionet përmes Linux root store të mirëmbajtura dobët.
Firefox 158.0.1, ESR 115.43.1 dhe ESR 153.5.1 përfshijnë informacionin OneCRL nën CVE-2026-113470 për instalimet që nuk mund të marrin Remote Settings. Instalimet standarde të Firefox që morën bllokimin e shpërndarë nga distanca nuk kanë nevojë për veprim shtesë. NSS 3.131.1 heq emSign ECC Root CA - G3 nga lista e vet e besuar. Python certifi 2026.10.19 dhe Rust webpki-roots 1.0.10 e heqin atë root nga bundle e tyre. Homebrew ca-certificates 2026-09-25_1 përjashton emSign ECC Root CA - G3, emSign Root TLS CA - G3 dhe AAA Certificate Services sipas public key.
Heqja e një root të tërë ka pasoja më të gjera sesa bllokimi vetëm i tetë key të komprometuara. Ajo refuzon gjithashtu certifikata legjitime që varen nga ai root. Mozilla paralajmëroi se disa serverë mund të bëhen të paarritshëm për software që nuk është Firefox dhe që përdor listën trust të NSS, derisa operatorët e tyre të kalojnë te certificate chain të ndryshme. Mozilla këshillon operatorët e trust store të mbështeten te revocation vetëm kur klientët e kontrollojnë atë vazhdimisht dhe refuzojnë lidhjet kur kontrolli dështon. Përndryshe, aty ku është e mundur, ata duhet të bllokojnë drejtpërdrejt tetë intermediate certificate authority ose të shqyrtojnë heqjen e root që i kanë lëshuar ato.
Node.js nuk kishte ndonjë korrigjim të publikuar në kohën e përshkruar, megjithëse një draft-ndryshim do t’i bllokonte tetë key. Edhe ca-bundle i Composer nuk kishte ndonjë përditësim të publikuar, ndërsa një ndryshim i hapur propozonte heqjen e emSign ECC Root CA - G3. Mozilla e hoqi atë root nga NSS më 20 tetor. Chrome planifikon ta heqë në versionin 43 të root store të vet dhe po shqyrton root tjetër të përfshirë të eMudhra, emSign Root CA - G1. Repozitori i trust services i CA nuk kishte njoftim për incidentin deri më 20 tetor dhe Mozilla tha se puna për shkakun bazë po vazhdonte me CA, root program të tjera dhe trust store në hallkat pasuese.
Për organizatat që vlerësojnë ekspozimin e shfletuesve, aplikacioneve dhe trust store, AEU-I është shërbimi i AEU Group i përqendruar te IT, infrastruktura dhe konsulenca me sigurinë si përparësi. Operatorët e faqeve të internetit duhet të verifikojnë nëse certificate chain aktuale varet nga ndonjë root i hequr, ndërsa ekipet e software duhet të bëjnë dallimin mes mbrojtjes automatike të shfletuesit dhe library apo aplikacioneve të kompiluara që kërkojnë përditësime ose rindërtim të posaçëm.