Naruszenie certyfikatów pośrednich eMudhra
W październiku 2026 Cloudflare dowiedział się o skompromitowanych kluczach prywatnych powiązanych z ośmioma certyfikatami pośrednimi eMudhra. Te certyfikaty były szeroko zaufane, w systemach operacyjnych, przeglądarkach i nawet w infrastrukturze Cloudflare. Napastnicy mogą wykorzystać te klucze do spreparowania sfałszowanego certyfikatu dla dowolnej domeny, co otwiera drogę do podszywania się pod serwery, przechwytywania ruchu sieciowego oraz modyfikowania przesyłanych danych.
Cloudflare wprowadziło poprawki w swoich usługach, sieci dostarczania treści, produktach deweloperskich i rozwiązaniach Zero Trust. Klienci Cloudflare Zero Trust z aktualnym klientem są chronieni automatycznie. Incydent dotyczy uwierzytelniania opartego na certyfikatach, nie algorytmów szyfrowania protokołu TLS.
Zalecane działania dla użytkowników i deweloperów
Klienci korzystający z aplikacji Cloudflare One Client oraz WARP muszą zainstalować najnowsze wersje oprogramowania. Na Androidzie to v2.5.7, na iOS v1.12.7, na Windowsie, macOS i Linuksie wydania z grupy 2026.8.2115.0. Aplikacja 1.1.1.1 również otrzymała analogiczne aktualizacje. Osoby pracujące z kontenerami i środowiskami piaskownicy powinny sprawdzić obrazy kontenerów oraz zależności pod kątem podatnych magazynów zaufanych certyfikatów.
Warto włączyć inspekcję ruchu wyjściowego HTTPS, przenosi to walidację certyfikatów zdalnego serwera do zarządzanej infrastruktury Cloudflare. Programiści powinni pamiętać, że aktualizacja samego pakietu SDK może nie zmienić domyślnych zasad weryfikacji. Klient API może delegować sprawdzanie certyfikatów do biblioteki HTTP, środowiska uruchomieniowego języka lub systemu operacyjnego. Po wprowadzeniu łatek nie wyłączajcie weryfikacji certyfikatów w celu ukrycia błędów w panelach; usuwa to ochronę uwierzytelniania.
