Cloudflare 披露 8 张 eMudhra 中间证书私钥被攻破

2026/10/21 06:29

事件核心：10 月 19 日约 17:00 UTC，Cloudflare 得知 8 张被浏览器、操作系统及 Cloudflare 广泛信任的 eMudhra 中间证书私钥遭攻破；由于密钥强度不足，攻击者可伪造任意域名证书并冒充服务器拦截或篡改流量。
响应时间线：10 月 20 日 02:00 UTC 发布 Cloudflare One Client/WARP 安全更新（iOS Agent 仍待审核）；09:15 UTC 发布 cloudflared 更新；19:20 UTC 完成 CDN 与服务端 Zero Trust 缓解部署。Cloudflare 称未发现该问题在其服务上被主动利用。
客户侧影响：事件涉及依赖 WebPKI 做认证的软件栈；Cloudflare 已更新共享信任库、基础镜像等，但部分客户仍需更新自有源站软件或信任配置。开发者不能通过关闭证书校验来消除告警，需按实际 TLS 验证路径升级依赖并重建镜像。
工程意义：浏览器可通过 CRLSets 等快速撤销机制“一开关”完成处置，而企业与开发者环境要面对数百个应用与多层依赖树；Cloudflare 因此提到 upki 等项目，指向信任库需要支持撤销信息与证书透明密钥的动态更新，而非静态根证书列表。